平成25年度秋期 応用情報技術者試験 午前 問40
ISMSにおいて定義することが求められている情報セキュリティ基本方針に関する記述のうち、適切なものはどれか。
- ア 重要な基本方針を定めた機密文書であり、社内の関係者以外の目に触れないようにする。
- イ 情報セキュリティの基本方針を述べたものであり、ビジネス環境や技術が変化しても変更してはならない。
- ウ 情報セキュリティのための経営陣の方向性及び支持を規定する。
- エ 特定のシステムについてリスク分析を行い、そのセキュリティ対策とシステム運用の詳細を記述する。
解答・解説を見る
正解：ウ
AI解説
情報セキュリティ基本方針（情報セキュリティポリシの最上位文書）は、情報セキュリティに対する経営陣の方向性と支持（コミットメント）を規定するものである。組織の取り組み姿勢を内外に示す宣言であり、ウが適切。 ア: 基本方針は従業員や関係者に広く周知し、必要に応じて社外にも公表するものであり、機密文書として隠すものではない。 イ: ビジネス環境や技術の変化に応じて定期的に見直し、必要なら改訂すべきものである。「変更してはならない」は誤り。 ウ: 正しい。経営陣の方向性・支持の規定が基本方針の役割である。 エ: 特定システムのリスク分析や対策・運用の詳細は、下位文書である対策基準や実施手順に記述する内容である。 💡 セキュリティポリシは「基本方針（トップの意思表明・公開性高）→対策基準→実施手順」の3階層。上位ほど抽象的・安定的、下位ほど具体的・変更頻度が高い。
出典：平成25年度 秋期 応用情報技術者試験 午前 問40 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。