平成28年度 春期 （特別措置試験） 問73

✓ これが正解ウ全ての従業員及び関連する外部関係者

解説

守ってもらう相手すべてに届かなければ意味がありません。

情報セキュリティ方針は、組織として何をどう守るかを定めた土台の文書です。定めただけでは何も起きないので、実際に守ってもらう相手すべてに届いてはじめて働きます。だから改訂を知らせる範囲も、その相手すべてになります。ここを押さえると、四つの肢は範囲の広さだけで割れます。特定の部署の人に絞るもの、経営する立場の人に絞るもの、安全を受け持つ担当者に絞るもの。この三つはいずれも、組織の中の一部だけを指しています。残る一つだけが、働く人すべてに加えて、関わりのある外の相手までを含めています。外の相手まで含めるのが要点で、業務を請け負う会社や常駐する人も同じ方針の下で動くからです。情報セキュリティポリシーと呼ばれる文書群の、いちばん上に置かれるものです。決める側と守る側を分けると、範囲が見えてきます。

ほかの選択肢はなぜ違うのか

• ア機密情報を扱う部署の従業員：秘密の情報を扱う部署の人だけに絞った範囲です。守る必要があるのはその部署だけではないので、狭すぎます。ほかの部署の人が方針を知らないままだと、そこから穴が開きます。知らない人が残れば、そこから穴が開いてしまいます。
• イ経営者：経営する立場の人だけに絞った範囲です。この立場の人は方針を決めて示す側なので、知らせる相手として挙げるのは向きが違います。決める側と守る側を取り違えた形になります。決める側と守る側を、そのまま取り違えた形になります。
• エセキュリティ管理者：安全を受け持つ担当者だけに絞った範囲です。日々の運用を回す立場ではありますが、方針を守るのはその人だけではありません。三つの誤答肢はいずれも、組織の一部だけを指している点で共通します。三つとも、組織の一部だけを指しています。