ITパスポート試験 ITパスポート 2021年 (令和3年) 問96: 情報セキュリティ方針に関する記述として,適切なものはどれか。

正解

エ. 自社の事業内容,組織の特性及び所有する情報資産の特徴を考慮して策定する。

正答率 66.9%（1,226人中 820人が正解）

問題の解説

情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかを示す基本的な考え方で、経営層が定める。自社の事業内容、組織の特性、保有する情報資産の特徴といった実態を考慮して策定しないと、実効性のある方針にならない。また、環境の変化に応じて見直し、従業員などに周知して使う。

選択肢ごとの解説

• ア情報セキュリティ方針は、事業環境やリスクの変化に応じて、定期的に、または必要に応じて見直すものであり、運用が定着するまで変更してはいけないわけではない。
• イ情報セキュリティ方針は、組織が実際に取り組む基本的な考え方と行動の指針を示すものであり、理想像を述べて活動を促すだけのものではない。
• ウ情報セキュリティ方針は、従業員などの関係者に周知して守らせるものであり、社外に非公開と決まっているわけではなく、基本方針を公表する企業も多い。
• エ正しい。方針は、自社の事業内容、組織の特性、情報資産の特徴を考慮して策定することで、実態に合った実効性のあるものになる。