ITパスポート試験 ITパスポート 2009年 (平成21年 春期) 問54: 企業の情報セキュリティポリシの策定及び運用に関する記述のうち,適切なものはどれか。

正解

イ. 経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について,社員への説明を率先して推進しなければならない。

正答率 55.3%（1,241人中 686人が正解）

問題の解説

情報セキュリティポリシは、組織としての情報の守り方を定めた文書で、経営者の考え方を示す基本方針から出発する。経営トップが自らその考え方や取組みを社員に説明し、全員に浸透させる先頭に立たなければ、決めただけで守られない形だけのポリシになってしまう。個別の設定や製品の選定は、ポリシに基づいて決める下位の事柄である。

選択肢ごとの解説

• ア個々のソフトウェアに設定する内容は、ポリシに基づいて作る実施手順にあたる事柄であり、ポリシそのものに定める事項ではない。
• イ正しい。ポリシは経営の意思を示すものなので、経営トップが会社の考え方や取組みを社員に率先して説明し、全員に浸透させる責任がある。
• ウ最初に定めるのは、経営者の考え方や取組みの姿勢を示す基本方針である。遵守すべき行為や判断の基準(対策基準)は、その基本方針を具体化するものとして後から定める。
• エ製品の選定は、ポリシで定めた方針や基準を実現するための対策の段階で行うことであり、ポリシの策定の中で決めるものではない。