平成29年度 秋期 （特別措置試験） 問68

✓ これが正解ウトップマネジメントが確立しなければならない。

解説

組織の一番上が定めて示す、守りの基本方針のことです。

情報セキュリティ方針は、組織として情報をどう守るのかという考え方を示した文書です。全社を範囲にするのですから、部門をまたいで一貫していなければ意味がありません。だから、組織の一番上に立つ人が責任をもって定め、内外へ示すことになっています。上が示すからこそ、部門どうしで食い違ったときの拠り所になり、必要な人や費用も付きます。中身は、何を守るのか、誰が責任を負うのか、どういう考え方で判断するのかといった骨格です。機器の細かい設定は、この方針のもとに作られる下位の規程が受け持ちます。守るべきものは業種が同じでも組織ごとに違うので、中身が同じになることもありません。方針は作って終わりではなく、組織の中に示して知らせ、状況が変わったら見直すところまでが一続きになります。迷ったとき立ち返る先がこの文書です。

ほかの選択肢はなぜ違うのか

• ア同じ業種であれば記述内容は同じである。：同じ業種であれば記述の中身は同じになる、という肢です。守るべき情報も、取引の形も、抱えている危険も組織ごとに違います。よその文書をそのまま写すと、自分の組織に合わない決まりが残ります。よその文書は写せません。
• イ全社共通のPCの設定ルールを定めたもので…：全社共通の設定の決まりを定めたものだ、という肢です。設定の細かい決まりは、方針のもとに作られる下位の文書が受け持ちます。方針が示すのは、判断の拠り所になる考え方のほうです。層が一段下がっています。細かい設定は下位の規程に書きます。
• エ部門ごとに最適化された情報セキュリティ方…：部門ごとに最適化した方針を、個別に策定するという肢です。部門ごとに骨格が違えば、またぐ業務でどちらに従うのかが決まりません。全社を範囲にする以上、上位の方針は一つに保ちます。またぐ業務で決まりません。上位の骨格は一つに保ちます。