ITパスポート試験 ITパスポート 2014年 (平成26年 秋期) 問61: 組織で策定する情報セキュリティポリシに関する記述のうち,最も適切なものはどれか。

正解

エ. 組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも,情報セキュリティ基本方針は組織全体で統一させるべきである。

正答率 57.7%（770人中 444人が正解）

問題の解説

情報セキュリティポリシは、最上位の基本方針と、その下の規則(対策基準)や手順などの階層でできている。基本方針は組織全体の考え方を示すものなので全体で一つに統一し、規則や手順は部門の事情に合わせて具体化する。そのため、部門ごとに対策が異なっても、基本方針は組織全体で統一すべきである。

選択肢ごとの解説

• ア基本方針は経営者が示すが、規則や手順まで経営者が策定する必要はない。業務の実態を知る担当部門などが作成する。
• イ基本方針は社外に示すことがあるが、規則や手順には対策の内部事情が含まれ、公開すると攻撃に利用されるおそれがある。公開は求められない。
• ウ基本方針は、自組織の事業や経営方針に基づいて決めるものである。業界標準の雛形をそのまま採用することは求められていない。
• エ正しい。部門ごとに対策が異なっても、組織としての基本的な考え方を示す基本方針は、組織全体で一つに統一する。