ISMSの情報セキュリティ方針とは何か、規程や手順とどう違うか
ITパスポート試験 令和5年度 問94 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSにおける情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア
企業が導入するセキュリティ製品を対象として作成され，セキュリティの設定値を定めたもの
- イ
個人情報を取り扱う部門を対象として，個人情報取扱い手順を規定したもの
- ウ
自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について，両社間で合意したもの
- エ
情報セキュリティに対する組織の意図を示し，方向付けしたもの
会話形式の解説
講師この問題では、ISMS（情報セキュリティマネジメントシステム）でいう「情報セキュリティ方針」がどんな文書かを問われています。選択肢を見るときは、組織全体の基本的な考え方を書いたものか、特定の製品や部門、取引先に限った具体的な取り決めかに注目してください。
受験者「方針」と言われると、セキュリティのルールが細かく書いてある文書を想像してしまいます。製品の設定値や個人情報の取扱い手順も、ルールなので方針に入るのではないかと迷いました。
講師そこが引っかけです。情報セキュリティ方針は、情報セキュリティに対する組織の意図を示して、進む方向を決める文書です。経営層が責任を持って承認し、具体的な規程・手順・設定基準を作るときの土台になる上位の文書です。細かいルールは、方針を受けて作られる下位の文書に書きます。
受験者そうすると、セキュリティ製品の設定値を定めたものは、技術的な設定基準にあたるので、方針の下にある文書ということですか。
講師そのとおりです。対象が導入する製品に限られていて、中身も具体的な設定値です。運用レベルの文書なので、組織全体の意図を示す方針とは階層が違います。
受験者個人情報を扱う部門向けの取扱い手順も同じ考え方ですね。対象が一つの部門だけで、内容も手順なので、個人情報取扱規程や業務手順書にあたると思います。
講師はい、その判断で合っています。では、取引先との間でやり取りする情報資産の範囲と保護方法を、両社で合意したものはどうでしょうか。
受験者情報資産を守る内容なので一番まぎらわしいです。ただ、「両社間で合意」とあるので、自社の考え方というより相手との約束に見えます。
講師よいところに気付きました。これは秘密保持契約（NDA）のような、相手のある対外的な契約や合意文書の説明です。自社の基本的な考え方を示す方針ではありません。
受験者残った「情報セキュリティに対する組織の意図を示し、方向付けしたもの」が、さっきの方針の定義そのままなので、これが正解ですね。
講師正解です。見分けるコツとして、選択肢に「設定値」「手順」「両社間で合意」のような具体的な言葉があれば、方針の説明ではないと疑ってみてください。なお、ISMSは機密性・完全性・可用性を保つために情報資産とリスクを管理する仕組みで、方針はその出発点にあたります。方針は従業員に周知し、定期的に見直すことも求められるので、あわせて覚えておくとよいです。
まとめ
ISMSにおける情報セキュリティ方針は、情報セキュリティに対する組織の意図を示し、方向付けた文書です。経営層が承認し、具体的な規程・手順・設定基準を作るときの土台になる上位の文書です。製品の設定値を定めたものや部門の取扱い手順は下位の文書で、取引先との合意は秘密保持契約のような対外的な契約にあたるので、方針ではありません。選択肢に「設定値」「手順」「両社間で合意」のような具体的な言葉があれば、方針の説明ではないと判断できます。
解答・解説
正解はエです
この問題のテーマ
ISMS（情報セキュリティマネジメントシステム）でいう「情報セキュリティ方針」とは何かを問う問題です。製品の設定基準や作業手順、取引先との契約といった、ほかの文書と区別できるかが問われています。
解き方の考え方
情報セキュリティ方針は、組織の文書の中で一番上に位置する文書です。情報セキュリティに対する組織の考え方と進む方向を示すもので、経営層が承認します。そこで、各選択肢が「組織全体の基本的な考え方」なのか、「特定の製品・部門・取引先に限った具体的な取り決め」なのかを見分けます。対象が限られていたり、内容が具体的な設定や手順だったりする選択肢は、方針より下の文書や契約の説明なので外せます。
選択肢ごとの解説
- ×ア 企業が導入するセキュリティ製品を対象として作成され，セキュリティの設定値を定めたもの導入するセキュリティ製品を対象に設定値を定めたものは、技術的で具体的な設定基準や運用レベルの文書にあたります。組織全体の意図を示す方針とは階層が異なり、方針の考え方を受けて作られる下位の文書です。
- ×イ 個人情報を取り扱う部門を対象として，個人情報取扱い手順を規定したもの個人情報を扱う部門に限って取扱い手順を定めたものは、個人情報取扱規程や業務手順書にあたります。対象が特定の部門に限られ、内容も具体的な手順なので、組織全体の方向を示す方針とはいえません。
- ×ウ 自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について，両社間で合意したもの取引先とやり取りする情報資産の範囲や保護方法を両社で合意したものは、秘密保持契約（NDA）にあたります。相手のある対外的な取り決めであり、自社の基本的な考え方を示す方針ではありません。
- ○エ 情報セキュリティに対する組織の意図を示し，方向付けしたもの情報セキュリティに対する組織の意図を示し、方向付けたものという説明は、情報セキュリティ方針の定義そのものです。方針は経営層が責任を持って承認し、具体的な目標や規程、手順を決めるときの土台になります。
補足
選択肢の説明に「設定値」「手順」「両社間で合意」のような具体的な言葉があれば、方針の説明ではないと疑ってみると判断しやすくなります。なお、ISMSは機密性・完全性・可用性を保つために情報資産とリスクを管理する仕組みです。方針はその仕組みの出発点にあたり、従業員に周知し、定期的に見直すことが求められます。
POINT
- 情報セキュリティ方針とは、情報セキュリティに対する組織の意図を示し、方向付けた文書のことです。
- 方針は経営層（トップマネジメント）が責任を持って承認します。
- 方針は最上位の文書で、その下に具体的な規程・手順・設定基準が作られます。
- 特定の製品・部門・取引先に限った具体的な内容は、方針ではなく下位の文書や契約の説明だと判断できます。