情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問6: JIS Q 27001 に基づく情報セキュリティ方針の取扱いとして，適切なものはどれか。

問題本文

JIS Q 27001 に基づく情報セキュリティ方針の取扱いとして，適切なものはどれか。

選択肢

• ア.機密情報として厳格な管理を行う。
• イ.従業員及び関連する外部関係者に通知する。
• ウ.情報セキュリティ担当者各人が作成する。
• エ.制定後はレビューできないので，見直しの必要がない内容で作成する。

正解

イ. 従業員及び関連する外部関係者に通知する。

解説

JIS Q 27001 では，情報セキュリティ方針は組織内へ伝達し，必要に応じて利害関係者が入手できるようにすることが求められる。方針を従業員および関連する外部関係者に通知して周知することが要求事項に合致するため，イが正解である。

選択肢ごとの解説

• ア.情報セキュリティ方針は関係者へ周知すべきものであり，機密情報として秘匿するのは方針の目的に反する。
• イ.方針を従業員および関連する外部関係者へ通知し周知することは規格の要求事項であり，正しい。
• ウ.情報セキュリティ方針はトップマネジメントが確立・承認するものであり，担当者各人が個別に作成するものではない。
• エ.方針は定期的または重大な変化が生じた際にレビューし継続的に見直すことが求められ，見直し不要という前提は誤りである。