平成30年度 秋期 ITパスポート 問70（テクノロジ）
出典：平成30年度 秋期 ITパスポート試験 公開問題 問70（独立行政法人情報処理推進機構（IPA））
ISMSにおける情報セキュリティ方針の説明として，適切なものはどれか。
- ア個人情報を取り扱う事業者が守るべき義務を規定するものである。
- イ情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。
- ウ情報セキュリティに対する組織の意図を示し，方向付けをするものである。
- エ保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。
正解と解説を見る
正解：ウ
【情報セキュリティ方針とは】
ISMS（Information Security Management System、情報セキュリティマネジメントシステム）における情報セキュリティ方針は、トップマネジメント（経営者）が定める、情報セキュリティに対する組織の意図と方向性を示す文書です。組織として情報セキュリティにどのように取り組むかという基本的な考え方を示し、それに基づいて具体的な対策の基準や手順が作られます。
【選択肢の検討】
ア：個人情報を取り扱う事業者が守るべき義務を規定するのは、個人情報保護法です。
イ：情報セキュリティを確保するための具体的な手順は、実施手順などの下位の文書で示すものです。
ウ：情報セキュリティに対する組織の意図を示し、方向付けをするものなので、情報セキュリティ方針の説明です。
エ：サーバのセキュリティの設定値は、具体的な対策の基準や手順で規定するものです。
よって、正解は選択肢ウです。