令和7年度 ITパスポート 問84（テクノロジ）
出典：令和7年度 ITパスポート試験 公開問題 問84（独立行政法人情報処理推進機構（IPA））
ISMSにおける情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。
- イ情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。
- ウ部門の特性に応じて最適化するので，ISMSを適用する組織全体ではなく，部門ごとに定める必要がある。
- エボトムアップを前提としているので，各職場の管理者によって承認される必要がある。
正解と解説を見る
正解：イ
【情報セキュリティ方針とは】
情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかの基本的な考え方を示したもので、ISMSの要求事項を定めたJIS Q 27001では、トップマネジメント（経営者）が確立するものとされています。方針には、情報セキュリティの目的の枠組みや、要求事項を満たすことへのコミットメント（約束）、ISMSを継続的に改善することへのコミットメントを含めます。また、組織内に伝達し、必要に応じて利害関係者が入手できるようにします。
【選択肢の検討】
ア：情報セキュリティ方針は、必要に応じて取引先などの利害関係者も入手できるようにするもので、伝達の範囲を社内に限定するものではありません。
イ：ISMSを継続的に改善するコミットメントを含めるので、適切です。
ウ：情報セキュリティ方針は、ISMSを適用する組織全体の方針として、トップマネジメントが定めます。部門ごとに別々に定めるものではありません。
エ：トップマネジメントが確立するものなので、ボトムアップを前提に、各職場の管理者が承認するものではありません。
よって、正解は選択肢イです。