平成22年度秋期 応用情報技術者試験 午前 問42

正解：ウ

AI解説

情報セキュリティ基本方針(セキュリティポリシーの最上位文書)は、組織の情報セキュリティに関する経営陣の姿勢・方向性を示し、経営陣がそれを支持していることを対外的・組織内に明確にするための文書である。 ア: 基本方針は、組織全体が拠るべき理念を示すものであり、関係者に周知徹底されるべき文書である。社外秘の機密文書として関係者以外の目に触れさせないようにするものではなく、むしろ広く周知・公表することが望ましい。 イ: 基本方針はビジネス環境や技術、リスクの変化に応じて定期的に見直し・改訂されるべきものであり、変更してはならないという記述は誤り。 ウ: 正しい。情報セキュリティ基本方針は、組織の情報セキュリティに対する経営陣の考え方・方向性を示し、経営陣がその取組みを支持していることを規定する文書である。 エ: 特定システムのリスク分析結果や具体的なセキュリティ対策・運用の詳細を記述するのは、基本方針の下位に位置する「対策基準」や「実施手順(規程・手順書)」の役割であり、基本方針自体の内容ではない。 💡 情報セキュリティポリシーは「基本方針(経営陣の方針表明)→対策基準(遵守すべきルール)→実施手順(具体的な手順)」の3階層構造で構成されることを覚えておく。