情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問6: JIS Q 27001 に基づく情報セキュリティ方針の取扱いとして，適切なものはどれか。

正解

イ. 従業員及び関連する外部関係者に通知する。

正答率 73.5%（113人中 83人が正解）

問題の解説

JIS Q 27001 では，情報セキュリティ方針は組織内へ伝達し，必要に応じて利害関係者が入手できるようにすることが求められる。方針を従業員および関連する外部関係者に通知して周知することが要求事項に合致するため，イが正解である。

選択肢ごとの解説

• ア情報セキュリティ方針は関係者へ周知すべきものであり，機密情報として秘匿するのは方針の目的に反する。
• イ方針を従業員および関連する外部関係者へ通知し周知することは規格の要求事項であり，正しい。
• ウ情報セキュリティ方針はトップマネジメントが確立・承認するものであり，担当者各人が個別に作成するものではない。
• エ方針は定期的または重大な変化が生じた際にレビューし継続的に見直すことが求められ，見直し不要という前提は誤りである。