平成25年度 秋期 午前 問40

✓ これが正解ウ情報セキュリティのための経営陣の方向性及び支持を規定する。

解説

基本方針は経営陣の方向性と支持を示す最上位の文書です。

設問は、ISMS で定めることが求められている情報セキュリティ基本方針に関する記述を選ばせています。見る軸は一つで、その記述が文書の階層のどこを語っているかです。情報セキュリティポリシは三つの層に分かれ、最上位の基本方針が、なぜ守るのかという組織の意思を短く示します。その下に、何をどの水準で守るかを定める規程が置かれ、さらに下に、どう操作するかを書いた手順書が続きます。規格が基本方針に求めるのは、組織の目的に合っていること、要求事項を満たして改善を続けると約束すること、そして経営陣が進む向きを示して後押ししていることです。よって、情報セキュリティのための経営陣の方向性及び支持を規定する、という記述が当てはまります。

ほかの選択肢はなぜ違うのか

• ア重要な基本方針を定めた機密文書であり，社…：基本方針は、取引先や従業員に対して自分たちの構えを示すための文書なので、外へ向けて公開するのが普通です。関係者だけに閉じてしまうと、示したい相手に届かなくなります。
• イ情報セキュリティの基本方針を述べたもので…：事業の環境も技術も脅威も移り変わるため、方針も定めた間隔で見直す対象になります。変えてはならないと固めてしまうと、計画と実行と点検と改善を回す考え方そのものが止まります。
• エ特定のシステムについてリスク分析を行い，…：特定のシステムを対象に分析を行い、対策や運用の細かい内容まで書くのは、下の層に置かれる手順書の役目です。活動そのものは必要ですが、最上位の文書に書く中身ではありません。