情報セキュリティマネジメント 平成30年度 秋期 午前 問10

✓ これが正解エ b, c, d

解説

方針の策定・対策の見直し・動向の収集が経営者の取組みです。

設問が引く中小企業の情報セキュリティ対策ガイドライン（第2.1版）は、情報セキュリティ対策を組織に根づかせるために、経営者がリーダシップを発揮して自ら行うべき取組みを示しています。対策を組織的に実施する意思を明確に示すために方針を定めること、対策の有効性を維持するために定期又は随時に見直すこと、新たな脅威に備えて最新動向を収集することは、いずれも組織の方向づけに関わる経営者の役割です。一方、情報セキュリティ監査の監査計画の立案は、監査を実施する側の実務であり、経営者が自ら行うべき取組みとしては挙げられていません。この一つを外せるかどうかが分かれ目です。

ほかの選択肢の解説

• ア a, b, c：監査計画の立案が入っている点と、最新動向の収集が抜けている点で誤りです。監査の計画づくりは監査を担う側の実務で、経営者自らの取組みとしては示されていません。
• イ a, b, d：方針を定める取組みが含まれていません。組織的に対策を進める意思表示は経営者にしかできない中心的な役割です。加えて、監査計画の立案という実務が紛れ込んでいます。
• ウ a, c, d：対策の見直しが漏れ、代わりに監査計画の立案が入っています。有効性を保つための定期又は随時の見直しは、経営者が担うものとして示されている取組みの一つです。