令和7年度 ITパスポート試験 問84
テクノロジ／セキュリティISMS における情報セキュリティ方針に関する記述として，適切なものはどれか。
出典：令和7年度 ITパスポート試験 問84
- ア機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。
- イ情報セキュリティ対策は一度実施したら終わりではないので，ISMS を継続的に改善するコミットメントを含める必要がある。
- ウ部門の特性に応じて最適化するので，ISMS を適用する組織全体ではなく，部門ごとに定める必要がある。
- エボトムアップを前提としているので，各職場の管理者によって承認される必要がある。
正解：イ
解説
ISMSの情報セキュリティ方針は，トップマネジメントが組織全体に対して定めるもので，ISMSを継続的に改善することへのコミットメント（約束）を含める必要があります。情報セキュリティ対策は一度実施して終わりではなく，PDCAで繰り返し見直していくためです。方針は，必要に応じて利害関係者にも利用可能な形で伝達できるものです。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。情報セキュリティ方針は，社内に周知するだけでなく，必要に応じて外部の利害関係者にも利用可能としておくものであり，伝達範囲を社内に限定する必要はありません。
- イ正しい。継続的な改善へのコミットメントを方針に含める必要があります。
- ウ誤り。方針は，ISMSを適用する組織全体について，トップマネジメントが定めるものです。
- エ誤り。方針はトップダウンで，トップマネジメントが承認します。各職場の管理者の承認ではありません。