ITパスポート試験 令和7年度 公開問題 問84

【正解】イ

イの「情報セキュリティ対策は一度実施したら終わりではないので、ISMSを継続的に改善するコミットメントを含める必要がある。」が正解です。

ISMS（情報セキュリティマネジメントシステム）の情報セキュリティ方針には、継続的改善へのコミットメント（約束、責任）を含めることが求められています。セキュリティの脅威は常に変化するため、一度対策を実施しただけでは不十分であり、継続的に見直し・改善を行う姿勢を明示する必要があります。

アは誤りです。情報セキュリティ方針は、組織内外の関係者に伝達される必要があり、社内に限定するものではありません。

ウは誤りです。情報セキュリティ方針は、ISMSを適用する組織全体に対して定めるものであり、部門ごとに定めるものではありません。

エは誤りです。情報セキュリティ方針は、トップマネジメント（経営者層）によって承認される必要があり、ボトムアップではなくトップダウンで策定されます。

【ポイント】 JIS Q 27001（ISO/IEC 27001）では、情報セキュリティ方針にはトップマネジメントのコミットメントと継続的改善の方針を含めることが要求されています。