令和7年度 ITパスポート試験 公開問題 問84

ISMS（情報セキュリティマネジメントシステム）における情報セキュリティ方針に関する問題です。
情報セキュリティ方針は、組織のトップマネジメント（経営陣）が定める、情報セキュリティへの取り組みに関する基本的な方針です。ISMSでは、PDCAサイクルを回すことで、情報セキュリティ対策を継続的に改善していくことが求められます。したがって、トップマネジメントによる継続的改善へのコミットメント（約束・宣言）を含める必要があります。

各選択肢の解説

• ア：誤り
  情報セキュリティ方針は、組織内に周知するだけでなく、必要に応じて社外の利害関係者も入手可能でなければなりません。具体的な機密事項を記載する文書ではありません。
• イ：正解
  情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要があります。
• ウ：誤り
  情報セキュリティ方針は、トップマネジメントが組織全体の意図と方向性を示すものとして定める必要があります。部門ごとに個別に最適化して定めるものではありません。
• エ：誤り
  ISMSはトップダウンのアプローチを前提としています。情報セキュリティ方針は、各職場の管理者ではなく、トップマネジメント（経営陣）によって承認される必要があります。