平成29年度 秋期 ITパスポート 問68（テクノロジ）
出典：平成29年度 秋期 ITパスポート試験 公開問題 問68（独立行政法人情報処理推進機構（IPA））
全社を適用範囲としてISMSを導入する場合の情報セキュリティ方針に関する記述のうち，適切なものはどれか。
- ア同じ業種であれば記述内容は同じである。
- イ全社共通のPCの設定ルールを定めたものである。
- ウトップマネジメントが確立しなければならない。
- エ部門ごとに最適化された情報セキュリティ方針を，個別に策定する。
正解と解説を見る
正解：ウ
【情報セキュリティ方針とは】
ISMS（Information Security Management System、情報セキュリティマネジメントシステム）の情報セキュリティ方針は、組織が情報セキュリティにどのように取り組むかという意図と方向性を示す文書です。ISMSの規格（JIS Q 27001）では、トップマネジメント（経営者）が情報セキュリティ方針を確立しなければならないと定めています。組織の事業や状況に合わせて作るもので、全社を適用範囲とするなら、全社で1つの方針を定め、それに基づいて具体的な規則や手順を作ります。
【選択肢の検討】
ア：情報セキュリティ方針は、組織の目的や状況に合わせて作るものなので、同じ業種でも内容は同じになりません。
イ：PCの設定ルールのような具体的な規則は、方針に基づいて作る下位の規則や手順で定めるものです。
ウ：情報セキュリティ方針は、トップマネジメントが確立しなければならないものです。適切です。
エ：全社を適用範囲とする場合は、全社として1つの方針を定めます。部門ごとに個別の方針を作るのではありません。
よって、正解は選択肢ウです。