情報セキュリティマネジメント 平成28年度 春期 午前 問6

✓ これが正解イ 従業員及び関連する外部関係者に通知する。

解説

情報セキュリティ方針は従業員や外部関係者に伝えます。

情報セキュリティ方針は、組織として情報をどう守るのかという考え方と向かう先を示す文書です。示された方向に沿って一人ひとりが動いてはじめて意味をもつので、しまい込んでおくものではありません。設問が引いているのはJIS Q 27001です。出題当時のこの規格は、方針を従業員および関連する外部関係者に通知することを求めていました。関連する外部関係者まで含めるのは、業務を任せている先や取引の相手の振る舞いも、組織の情報の安全を左右するからです。だから、知らせるという扱いが適切になります。

ほかの選択肢の解説

• ア 機密情報として厳格な管理を行う。：守り方の向かう先を示す文書を、限られた人しか見られない扱いにしてしまうと、従って動くべき人のところへ届きません。中身を伏せることと、決めたとおりに行動してもらうことは同時には成り立ちません。
• ウ 情報セキュリティ担当者各人が作成する。：担当する人が各自で作ると、組織として一つの向かう先を示すはずの文書が人数分並ぶことになります。全体の考え方を支える基盤という役目と、めいめいが別々に書くという作り方は噛み合いません。
• エ 制定後はレビューできないので，見直しの必要がない内容で作成する。：扱う情報も脅威も時とともに移り変わるため、いったん定めたものもレビューの対象になります。あとから手を入れられない前提で書くという考え方では、移り変わりに合わせて保っていけません。