ITパスポート試験 令和5年度 公開問題 問94

【正解】エ

ISMSは、組織が情報セキュリティを継続的に管理するための仕組みです。その情報セキュリティ方針は、情報セキュリティに関する組織の基本的な意図と方向性を示すものです。経営層が組織として何を重視し、どの方向へ取り組むのかを明確にし、具体的な目標、規程、手順を定める際の土台となります。したがって、エが正解です。

アの、セキュリティ製品の設定値を定めたものという説明は誤りです。これはファイアウォールなどの設定基準や、セキュリティ設定標準に当たる具体的かつ技術的な文書です。組織全体の意図を示す方針とは階層が異なります。

イの、個人情報を扱う部門の手順を規定したものという説明は誤りです。これは個人情報取扱規程や業務手順書に当たり、方針に基づいて現場の具体的な行動を定める文書です。

ウの、取引先との間で保護方法を合意したものという説明は誤りです。これは秘密保持契約や情報セキュリティに関する契約、合意書などに当たります。組織自身の基本方針を表したものではありません。

【ポイント】 情報セキュリティ方針は、個別の製品設定や作業手順よりも上位に位置する基本方針です。 「組織の意図と方向付け」という表現を押さえ、方針、規程、手順の階層を区別します。