ITパスポート試験 令和3年度 公開問題 問96

【正解】エ

情報セキュリティ方針は、組織が情報をどのような考え方で守るのかを示す基本的な方針です。事業の種類、組織の規模や体制、取り扱う情報資産、想定される脅威などは企業ごとに異なります。例えば、個人情報を大量に扱う企業と、製造技術を重要な秘密として扱う企業とでは、重視すべき対策が異なります。そのため、自社の事業内容、組織の特性、情報資産の特徴を考慮して策定するエが適切です。

アの内容は誤りです。方針は一度定めて終わりではなく、事業環境、法令、組織体制、情報技術、脅威などの変化に応じて定期的に見直します。運用が定着する前であっても、問題があれば変更が必要です。

イの内容は誤りです。これは情報セキュリティに関するビジョンや目標の説明に近いものです。方針には理想像だけでなく、経営者の意思、適用範囲、基本原則、責任などを組織の実情に合わせて示す必要があります。

ウの内容は誤りです。詳細な対策手順などは非公開にする場合がありますが、基本方針は取引先や顧客に姿勢を示すために公開されることもあります。方針の全てを必ず社外秘にするわけではありません。

【ポイント】 情報セキュリティ方針は、組織の目的や実情に適した内容にします。 経営者が承認し、従業員へ周知するとともに、環境の変化に応じて見直します。 公開する基本方針と、社内限定の具体的な対策基準や手順を区別しましょう。