平成30年度 秋期 （特別措置試験） 問70

✓ これが正解ウ情報セキュリティに対する組織の意図を示し，方向付けをするものである。

解説

守ることへの組織の意図と向きを示す、いちばん上の文書です。

ISMS の文書は三つの階層に分かれます。いちばん上が情報セキュリティ方針で、何をどこまで守るのかという組織の意図と向きを示します。経営者が定めて外にも示す、短く読みやすい文書です。その下に対策基準が来て、分野ごとに守るべき水準を決めます。いちばん下が実施手順で、誰が何をどうやるかを細かく書きます。上ほど変わりにくく、下ほど現場に合わせて直されます。設問が聞いているのは、いちばん上の文書の役目です。三つに分けるのは、変える速さが違うからです。方針は経営が変わるときにしか直しませんが、手順は機器を入れ替えるたびに直ります。一つの文書にまとめてしまうと、細かい直しのたびに経営者の承認が必要になり、現場が動かなくなります。残る三つのうち二つは、この三階層の下のほうにあたります。もう一つは法律の話です。

ほかの選択肢はなぜ違うのか

• ア個人情報を取り扱う事業者が守るべき義務を…：個人情報を扱う事業者が守るべき義務を定めるという肢です。これは個人情報保護法の役目になります。国が定める法律で、組織が自分で決める文書ではありません。守らなければ国から罰を受けます。守る対象も個人情報に絞られます。
• イ情報管理者が情報セキュリティを確保するた…：情報管理者が実施する具体的な手順を示すという肢です。これは三階層のいちばん下、実施手順にあたります。方針と手順の間には対策基準が挟まります。意図ではなく、やり方を書きます。機器や作業ごとに何冊にも分かれます。読む相手も現場の担当者です。
• エ保護すべき情報を管理しているサーバのセキ…：保護すべき情報を管理しているサーバの、セキュリティの設定値を定めるという肢です。これは実施手順よりさらに細かい、機器ごとの決めごとになります。四つの中で最も下にあり、組織の意図からいちばん遠い肢です。守る対象が一台の機器に絞られます。数字が並ぶ文書です。