平成30年度 春期 （特別措置試験） 問93

✓ これが正解ウトップマネジメントが確立しなければならない。

解説

情報セキュリティ方針は、経営の側が確立するものです。

組織として何をどう守るかを示す情報セキュリティ方針について問われています。この文書は、現場の担当が作って回すものではなく、経営の側が確立するものだと定められています。組織全体に効かせる決めごとなので、責任を持つ立場が示す必要があるからです。残りの三つを見ます。現状と切り離して理想だけを書く、というのは実行できない文書になります。守れない決めごとは、あっても働きません。担当者だけに知らせる、というのも合いません。全員が守るための決めごとなので、全員に知らせる必要があります。適用する範囲が組織全体なら、部門ごとに別々に作るのも合いません。範囲が全体なら、全体で一つに定めます。切り離して、だけ、といった限定の言葉が出てきたら、その一語を必ず確かめます。限定の言葉は、そこだけを取り出して確かめます。

ほかの選択肢はなぜ違うのか

• ア企業の現状とは切り離して，目標とする理想…：現状と切り離して、理想の形だけを書くとしています。これでは実際に守れない決めごとになり、文書として働きません。現状を踏まえたうえで、手の届く高さの決めごとにする必要があります。切り離してという言葉が手掛かりです。
• イ周知は情報セキュリティ担当者だけに限定す…：知らせる相手を、情報セキュリティの担当者だけに限るとしています。組織の全員が守るための決めごとなので、知らない人がいると成り立ちません。だけという限定の言葉が付いている点も、疑うべき手掛かりになります。全員に知らせます。
• エ適用範囲が企業全体であっても，部門単位で…：適用する範囲が組織全体であっても、部門ごとに制定するとしています。範囲が全体なら、全体で一つに定めるのが筋です。部門ごとに違う決めごとがあると、組織としての一貫性が失われ、守るべき線もばらばらになります。全体で一つにします。