ITパスポート試験 ITパスポート 2018年 (平成30年 春期) 問93: ISMSにおける情報セキュリティ方針に関する記述として,適切なものはどれか。

正解

ウ. トップマネジメントが確立しなければならない。

正答率 53.8%（1,364人中 734人が正解）

問題の解説

情報セキュリティ方針は、ISMSにおいて組織の情報セキュリティに対する基本的な考え方と取組みを示すもので、経営層に当たるトップマネジメントが確立し、文書化して従業員などの関係者に周知する。現状と離れた理想ではなく、事業や法令、契約などの要求事項に合ったものにする。

選択肢ごとの解説

• ア方針は、事業の状況や法令、契約上の要求などを踏まえて定めるものであり、企業の現状から切り離して理想形だけを書くのは適切ではない。
• イ方針は、従業員や関係する外部の者を含め、広く周知しなければ守られないので、担当者だけに限定するのは誤りである。
• ウ正しい。情報セキュリティ方針は、組織の最高位であるトップマネジメントが確立し、責任をもって運用を主導する。
• エ適用範囲が企業全体なら、方針も組織全体で一貫したものが必要であり、部門単位で別々に制定するのは適切ではない。