平成28年度 秋期 （特別措置試験） 問71

✓ これが正解エ情報セキュリティ方針

解説

自社が自分で書いて掲げるものかどうか、その一点で切ります。

守りの取り組みには、いくつもの文書と枠組みが関わります。見分けるときは、それを誰が作るのかを先に決めます。設問には自社でという限定が置かれているので、外から与えられるものではなく、自分たちで書いて掲げるものが答です。何を守り、どういう構えで臨むのかという一番おおもとの考え方を書いた文書が、情報セキュリティ方針にあたります。ISMS の文書の中では最も上に置かれ、その下に具体的な決まりや手順が並びます。紛らわしいのは、同じ守りの話であっても立っている層が違うものです。回し方を表す言葉や、規格の側が求めることは、どちらも考え方そのものではありません。誰が作るかという一本で切ります。BCP も PDCA も守りの語なので、同じ箱に見えてしまいます。層と作り手の二つで並べ直すと、混ざらなくなります。

ほかの選択肢はなぜ違うのか

• アBCP：仕事を止めないための備えを書いた計画です。守りに関わる文書ではありますが、情報資産をどう守るかという考え方を示したものではありません。止めない工夫と、守る構えとは別の話になります。
• イISMS要求事項：規格の側が組織に対して求めていることです。外から与えられるものなので、自社でという設問の限定と合いません。作る主体で切ると、読む前に外れます。規格の名前が入っている時点で、外から来る側の文書だとはっきり分かります。
• ウPDCA：計画し、実行し、確かめ、直すという回し方を表す言葉です。考え方に見えますが、手順の進め方であって、何を守るかという中身を持ちません。層が一段違うところに立っています。四つの段の頭文字なので、中身までは書かれていません。