平成21年度 高度共通 午前I（PM試験） 問14

正解：イ

AI解説

情報セキュリティ基本方針は，情報セキュリティに対する経営陣（トップマネジメント）の意図・方向性・支持を規定する最上位の文書である。全従業員に周知し，必要に応じて取引先など外部にも公開するものであり，ISMSでは経営陣のコミットメントを示すことが要求される。「経営陣の方向性及び支持」という表現が判断基準。 ア: 基本方針は機密文書ではなく，むしろ組織内外に周知・公表すべき文書である。 イ: 正解。基本方針は経営陣の方向性と支持を規定するというISMSの考え方に合致する。 ウ: ビジネス環境や技術の変化，リスクの変化に応じて定期的に見直し，必要なら変更すべきものである。 エ: 特定システムのリスク分析と対策・運用の詳細は，実施手順など下位文書のレベルであり基本方針の内容ではない。 💡 セキュリティポリシは「基本方針（経営層・抽象・公開）→対策基準→実施手順（現場・具体）」の3階層。上位ほど抽象的で安定，下位ほど具体的で変更頻度が高い，と整理する。