ITパスポート試験 ITパスポート 2016年 (平成28年 春期) 問73: 情報セキュリティマネジメントシステムを構築した企業において,情報セキュリティ方針を改訂したことを周知する範囲として,適切なものはどれか。

正解

ウ. 全ての従業員及び関連する外部関係者

正答率 54.0%（652人中 352人が正解）

問題の解説

情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかを示す基本方針で、組織の全員が守る必要がある。そのため改訂したときは、全ての従業員に加え、業務で情報を扱う委託先などの関連する外部関係者にも周知する。一部の人にしか伝えないと、知らない人が方針に反する行動をとるおそれがある。

選択肢ごとの解説

• ア機密情報を扱う部署だけでは範囲が狭い。ほかの部署の従業員も情報を扱い、方針を守る必要がある。
• イ経営者は方針を決めて承認する立場であり、周知の対象としては狭すぎる。方針を守る側の従業員に伝わらない。
• ウ正しい。方針は組織全体で守るものなので、従業員全員と、業務で関わる外部関係者にまで周知する。
• エセキュリティ管理者だけに伝えても、実際に方針を守って行動する他の従業員や外部関係者には伝わらない。