平成24年度 春期 午前Ⅱ 問21

✓ これが正解ウ情報セキュリティのための経営陣の方向性及び支持を規定する。

解説

情報セキュリティ基本方針は、経営陣の方向性と支持を示すものです。

情報セキュリティ基本方針は、組織が情報セキュリティにどう取り組むかを経営陣が示す、最上位の方針です。経営陣が方向性を定め、その取組みを支持することを明らかにし、従業員や、必要に応じて関係する外部の人に伝えるものとされています。また、事業の環境や技術の変化に合わせて見直すことが求められます。個別のシステムの対策や運用の手順は、基本方針の下にある、より具体的な規程や手順書で定めます。誰が示すか、誰に伝えるか、変えてよいか、の三点で記述を確かめると、正誤を判断できます。この問は出題当時の ISMS 適合性評価制度と基準に沿っており、その後、制度の運営組織は変わり、基準の規格も改訂されています。

ほかの選択肢はなぜ違うのか

• ア重要な基本方針を定めた機密文書であり，社…：情報セキュリティ基本方針は、従業員や関係する外部の人に伝えて守ってもらうためのものです。社内の関係者以外の目に触れないようにする機密文書とする説明は、伝えるという役割と逆です。
• イ情報セキュリティの基本方針を述べたもので…：基本方針は、ビジネス環境や技術の変化に合わせて、あらかじめ決めた間隔などで見直すものです。変更してはならないとすると、方針が現実に合わなくなっていきます。
• エ特定のシステムについてリスク分析を行い，…：特定のシステムのリスク分析と、その対策や運用の詳細を記述するのは、基本方針の下に置かれる個別の規程や手順の役割です。基本方針は組織全体の方向性を示す最上位の方針です。