ITパスポート 平成30年度 秋期 特別措置試験 問70

✓ これが正解ウ 情報セキュリティに対する組織の意図を示し，方向付けをするものである。

解説

守ることへの組織の意図と向きを示す、いちばん上の文書です。

ISMS の文書は三つの階層に分かれます。いちばん上が情報セキュリティ方針で、何をどこまで守るのかという組織の意図と向きを示す、経営者が定めて外にも示す短く読みやすい文書です。その下に対策基準が来て分野ごとに守るべき水準を決め、いちばん下が実施手順で、誰が何をどうやるかを細かく書きます。上ほど変わりにくく、下ほど現場に合わせて直されます。設問が聞いているのは、いちばん上の文書の役目です。三つに分けるのは変える速さが違うからで、方針は経営が変わるときにしか直しませんが、手順は機器を入れ替えるたびに直ります。一つの文書にまとめてしまうと、細かい直しのたびに経営者の承認が必要になり、現場が動かなくなります。残る三つのうち二つはこの三階層の下のほうにあたり、もう一つは法律の話です。

ほかの選択肢の解説

• ア 個人情報を取り扱う事業者が守るべき義務を規定するものである。：個人情報を扱う事業者が守るべき義務を定めるという選択肢で、これは個人情報保護法の役目になります。国が定める法律で、守らなければ国から罰を受けるものであり、組織が自分で決める文書ではありません。守る対象も個人情報に絞られます。
• イ 情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。：情報管理者が実施する具体的な手順を示すという選択肢で、これは三階層のいちばん下、対策基準のさらに下にある実施手順にあたります。意図ではなくやり方を書き、機器や作業ごとに何冊にも分かれ、読む相手も現場の担当者です。
• エ 保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。：保護すべき情報を管理しているサーバの、セキュリティの設定値を定めるという選択肢です。これは実施手順よりさらに細かい、一台の機器ごとの、数字が並ぶ決めごとで、四つの中で最も下にあり、組織の意図からいちばん遠い選択肢です。