ITパスポート 令和5年度 問94

✓ これが正解エ 情報セキュリティに対する組織の意図を示し，方向付けしたもの

解説

組織としての意図と向かう方向を示す、一番上に置く文書です。

情報セキュリティ方針は、ISMSの一番上に置かれる文書で、組織として情報セキュリティにどう向き合うのかという意図を示し、進む方向を定めるものです。細かな設定値や手順を書くところではなく、何を守り、誰が責任を持ち、どこまで力を注ぐのかという構えを、経営の言葉で宣言します。これを土台にして、対象ごとの規程や手順が下に組み立てられ、守るべき情報資産の範囲もそこで具体になっていきます。方針は働く人の隅々まで知らされ、状況が変われば見直しの対象にもなります。よって適切なのは、情報セキュリティに対する組織の意図を示し、方向付けしたものという記述です。

ほかの選択肢の解説

• ア 企業が導入するセキュリティ製品を対象として作成され，セキュリティの設定値を定めたもの：導入するセキュリティ製品を対象として設定値を定めたものは、方針の下にぶら下がる具体的な決めごとです。方針そのものは製品を名指ししませんし、値も書きません。階層で言えば、ずっと下の段に当たります。
• イ 個人情報を取り扱う部門を対象として，個人情報取扱い手順を規定したもの：個人情報を取り扱う部門を対象として手順を規定したものは、対象を絞った個別の規程です。組織全体の意図を示すという方針の役目とは、及ぶ範囲が違います。方針を受けて作られる側の文書に当たります。
• ウ 自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について，両社間で合意したもの：取引先との間で情報資産の範囲と保護方法を取り決め、両社で合意したものは、相手のある約束ごとです。自らの組織の意思を内外へ示す方針とは、性格も、決め方も違います。外へ向けた約束と、内へ向けた宣言とを分けて捉えると見分けられます。