ITパスポート 令和7年度 問84

✓ これが正解イ 情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。

解説

続けて良くしていくという約束を、方針の中に書き込みます。

情報セキュリティ方針は、組織として情報をどう守るのかを示す、最も上位の文書です。一度手を打てば終わりという性質のものではありません。守るべきものも、狙ってくる手口も移り変わるので、仕組みを回しながら直し続ける必要があります。だから方針には、ISMSを継続的に改善していくという約束、すなわちコミットメントを含めます。これがあることで、見直しを行うことが組織の意思として裏付けられます。よってこの記述が適切です。方針は組織全体に一つ置き、経営の側が承認します。取引先や利用者へ示すこともあります。守る姿勢を外へ見せること自体に意味があるからです。

ほかの選択肢の解説

• ア 機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。：伝える範囲を社内に限る必要があるとしています。方針そのものは、どう守るかの姿勢を示すもので、取引先や利用者へ示すことが求められる場面もあります。隠すべき機密そのものではありません。
• ウ 部門の特性に応じて最適化するので，ISMSを適用する組織全体ではなく，部門ごとに定める必要がある。：部門ごとに定める必要があるとしています。方針は組織全体に一つ置くもので、部門ごとに違う姿勢を掲げると、守りの高さがばらばらになってしまいます。最も弱いところから破られるので、そろえる必要があります。
• エ ボトムアップを前提としているので，各職場の管理者によって承認される必要がある。：各職場の管理者によって承認される必要があるとしています。組織全体の姿勢を示す文書なので、承認するのは経営の側です。下から積み上げて決めるものではありません。