情報セキュリティマネジメント 平成30年度 秋期 午前 問2

✓ これが正解エ 組織を指揮し，管理する人々の集まりとして複数名で構成されていてもよい。

解説

トップマネジメントは複数名の人々の集まりでも構いません。

設問が引くJIS Q 27000:2014は、トップマネジメントを、最高位で組織を指揮し、管理する個人又は人々の集まりと定義しています。決め手になっているのは個人又は人々の集まりという部分です。1人の役員でも、経営会議のような複数名の集まりでもよく、特定の役職であることも求められていません。だから、組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよいという記述が適切です。なお、この定義は規格が現行のJIS Q 27000:2019に置き換わった後も変わっていません。

ほかの選択肢の解説

• ア ISMS適用範囲から独立した立場であることが求められる。：トップマネジメントは組織を最高位で指揮し管理する当事者であり、ISMSの適用範囲の外に立つことは求められていません。独立の立場が必要なのは監査を行う側の話です。
• イ 企業の場合，ISMS適用範囲にかかわらず代表取締役でなければならない。：定義が求めているのは組織を指揮し管理する立場であることだけで、代表取締役という特定の役職は条件になっていません。適用範囲に応じてその範囲の責任者が該当し得ます。
• ウ 情報システム部門の長でなければならない。：情報システム部門の長という役職に限る定めはありません。情報システム部門は組織の一部門にすぎず、その長が組織全体の最高位に当たるとも限りません。