ISMSの情報セキュリティ方針は誰が承認し何を含めるか
ITパスポート試験 令和7年度 問84 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSにおける情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア
機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。
- イ
情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。
- ウ
部門の特性に応じて最適化するので，ISMSを適用する組織全体ではなく，部門ごとに定める必要がある。
- エ
ボトムアップを前提としているので，各職場の管理者によって承認される必要がある。
会話形式の解説
講師今回はISMS、つまり情報セキュリティを組織的に管理する仕組みの中の「情報セキュリティ方針」がテーマです。選択肢を見るときは、方針に何を含めるか、誰が承認するか、どこまで適用するか、誰に伝えるかのどれについて書かれているかを意識してください。
受験者方針というと大事な情報が書かれていそうなので、社内だけに伝えるという選択肢も正しそうに見えました。
講師そこは迷いやすいところです。方針は、組織が情報セキュリティにどう取り組むかという姿勢を示す文書で、機密事項は書きません。組織内に伝えるのはもちろん、必要に応じて利害関係者も入手できるようにするものなので、社内だけに限る必要はありません。
受験者姿勢を示す文書なら、外に見せても困らないわけですね。では、部門ごとに方針を作るという選択肢はどうですか。部門によって扱う情報が違うので、理にかなっている気もします。
講師方針は、ISMSの適用範囲である組織全体に共通して定めます。部門固有の手順や運用の規程を作ることはできますが、それは全体の方針と食い違わないように作るものです。方針そのものを部門ごとに分けるわけではありません。
受験者全体の方針が上にあって、部門の決まりはその下に置かれる関係ということですね。
講師そうです。残りの選択肢には、ボトムアップを前提に、各職場の管理者が承認するとありますね。これはどう考えますか。
受験者現場のことは現場の管理者が一番よく分かっているので、正しいのかと思いました。でも、組織全体の方針を職場ごとに承認するのは少し変な気がします。
講師その違和感は当たっています。ISMSの構築と運用はトップダウンが基本で、方針を確立して承認する責務はトップマネジメント、つまり経営層にあります。職場の管理者が承認するというのは誤りです。
受験者そうなると、継続的に改善するコミットメントを含めるという選択肢が正解ですね。コミットメントは「約束」や「責任を持って取り組むという表明」という意味で合っていますか。
講師その理解で大丈夫です。環境や脅威は変わり続けるので、対策は一度実施して終わりではなく、見直しと改善を続ける必要があります。その姿勢を方針で明確に示すことが求められているので、この選択肢が適切です。
受験者整理すると、方針は経営層が承認し、組織全体に共通で定め、継続的改善への約束を含め、社内だけでなく必要に応じて利害関係者にも示す、ということですね。
講師よくまとまっています。補足すると、方針には継続的改善だけでなく、適用される要求事項を満たすことへのコミットメントも含めます。部門ごとの具体的な運用や機密情報の扱い方は下位の規程や手順で決め、それらは上位の方針に沿って作ります。「部門ごと」「現場の管理者が承認」といったもっともらしい表現は引っかけになりやすいので注意してください。
まとめ
ISMSの情報セキュリティ方針は、トップマネジメントが確立して承認し、ISMSの適用範囲である組織全体に共通して定める文書です。方針には、ISMSを継続的に改善することへのコミットメントと、適用される要求事項を満たすことへのコミットメントを含めます。方針は組織の姿勢を示すもので機密事項は書かず、組織内に伝えるとともに、必要に応じて利害関係者も入手できるようにします。部門ごとの具体的な運用は、方針に沿った下位の規程や手順で定めます。ISMSはトップダウンが基本なので、職場の管理者が承認するという説明は誤りです。
解答・解説
正解はイです
この問題のテーマ
ISMS（JIS Q 27001）で、情報セキュリティ方針に求められる要件を正しく理解しているかを問う問題です。方針の中身、誰が承認するか、どこまで適用するか、誰に伝えるかが論点になります。
解き方の考え方
情報セキュリティ方針は、トップマネジメントが確立して承認し、ISMSの適用範囲である組織全体に共通して定める文書です。この基本を押さえたうえで、各選択肢が「承認者」「適用範囲」「伝達範囲」「含めるべき内容」のどこを述べているかを確かめます。方針には継続的改善へのコミットメントを含める必要があるので、それを述べた選択肢が適切です。
選択肢ごとの解説
- ×ア 機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。機密事項があるので伝達先を社内に限るという説明は誤りです。方針は組織の取り組み姿勢を示す文書で、機密事項は記載しません。方針は組織内に伝達し、必要に応じて利害関係者も入手できるようにするものなので、社内に限定する必要はありません。
- ○イ 情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。継続的改善へのコミットメントを含めるという説明は、方針の要求事項そのものです。環境や脅威は変化し続けるので、対策は一度実施して終わりにせず、見直しと改善を続ける必要があります。この姿勢を方針で明確に示しておくことが求められています。
- ×ウ 部門の特性に応じて最適化するので，ISMSを適用する組織全体ではなく，部門ごとに定める必要がある。部門の特性に合わせて部門ごとに方針を定めるという説明は誤りです。方針はISMSの適用範囲である組織全体に共通して定めます。部門固有の手順や運用規程を作ることはできますが、それは全体の方針と整合させたうえで作るものです。
- ×エ ボトムアップを前提としているので，各職場の管理者によって承認される必要がある。ボトムアップを前提に各職場の管理者が承認するという説明は誤りです。ISMSの構築と運用はトップダウンが基本で、方針を確立し承認する責務はトップマネジメントにあります。
補足
方針は組織全体の姿勢を示す文書です。部門ごとの具体的な運用や機密情報の扱い方は、下位の規程や手順で定めます。この問題のエは、承認者をトップマネジメントではなく職場の管理者としている点が誤りです。
POINT
- 情報セキュリティ方針は、トップマネジメントが確立して承認します。
- 方針には、ISMSの継続的改善へのコミットメントと、適用される要求事項を満たすことへのコミットメントを含めます。
- 方針は部門ごとではなく、ISMSの適用範囲である組織全体に共通して定めます。
- 方針は組織内に伝達し、必要に応じて利害関係者も入手できるようにします。
- ISMSの構築と運用はトップダウンが基本です。