令和3年度 ITパスポート 問96（テクノロジ）
出典：令和3年度 ITパスポート試験 公開問題 問96（独立行政法人情報処理推進機構（IPA））
情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア一度定めた内容は，運用が定着するまで変更してはいけない。
- イ企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。
- ウ企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。
- エ自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。
正解と解説を見る
正解：エ
【情報セキュリティ方針とは】
情報セキュリティ方針は、組織が情報セキュリティにどのように取り組むかの基本的な考え方を、トップマネジメント（経営者）が示したものです。自社の事業の内容、組織の特性、守るべき情報資産の特徴などを考慮して、自社に合った方針を策定します。方針は組織内に周知し、必要に応じて取引先などの利害関係者も入手できるようにします。また、環境の変化などに合わせて、定期的に見直します。
【選択肢の検討】
ア：情報セキュリティ方針は、事業や環境の変化に合わせて、定期的に、また必要に応じて見直すものです。運用が定着するまで変更してはいけない、ということはありません。
イ：情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかの方針と目的を示すもので、理想像を描いてそれに近づく活動を促すことを目的とする文書ではありません。
ウ：情報セキュリティ方針は、組織内に周知し、必要に応じて社外の利害関係者も入手できるようにするもので、社外に非公開として管理するものではありません。
エ：自社の事業内容、組織の特性、所有する情報資産の特徴を考慮して策定するので、適切です。
よって、正解は選択肢エです。