平成24年度春期 データベーススペシャリスト 午前Ⅱ 問21

基本方針を読むための視点

ISMSの基本方針を確認するときは、個別の対策や担当者の作業だけに注目せず、組織として情報セキュリティをどのように捉え、継続的に扱うための土台をどう示しているかという観点で整理しましょう。

この問題で問われていること

選択肢を読む際は、書かれている内容が一時的な運用上の指示なのか、それとも組織全体の判断や活動を支える上位の考え方なのかを見分け、方針としての位置づけに焦点を絞って比較してください。

視点

文の役割と抽象度に注目し、組織全体に関わる考え方なのか、限定された場面の具体的な指示なのかを整理します。周辺の記述との関係も、同じ階層の内容かどうかという観点にとどめて確認します。

確認ポイント

• 記述の対象範囲が、個別の作業ではなく組織全体に及ぶものとして書かれているか
• 文の役割が、具体的な手順の指定ではなく判断の前提を示すものとして読めるか
• 他の規程や手順と比べたとき、内容の抽象度と位置づけに一貫性があるか

正解

ウ

解説

情報セキュリティ基本方針は、経営陣が情報セキュリティに対して示す方向性と支持を明確にする文書です。機密文書として隠すものでも、環境変化にかかわらず固定するものでも、個別システムの詳細を記述するものでもありません。

理由

ISMSにおける情報セキュリティ基本方針は、経営陣の方向性や組織としての支持を示し、情報セキュリティ活動の基礎となるものです。したがって、経営の意思を規定する記述が適切です。

比較

基本方針は組織全体の大枠を示す文書であり、特定システムのリスク分析や詳細な対策・運用手順とは役割が異なります。また、事業環境や技術の変化に応じて見直される必要があります。

選択肢ア

これは不正解だよ。情報セキュリティ基本方針は、重要な内容を扱うとしても、社内関係者以外に一切見せない機密文書と定義されるものではありません。組織の情報セキュリティに関する基本的な方向性を示す文書として位置付けられます。

選択肢イ

これは不正解だよ。情報セキュリティの基本方針を述べる点は適切ですが、ビジネス環境や技術が変化しても変更してはならないという部分が誤りです。方針は環境の変化を踏まえて、必要に応じて見直されます。

選択肢ウ（正解）

これは正解だよ。情報セキュリティ基本方針は、情報セキュリティに取り組むうえでの経営陣の方向性と支持を規定するものです。組織全体の基本的な意思を示すという、基本方針の役割に合致しています。

選択肢エ

これは不正解だよ。特定のシステムに対するリスク分析、セキュリティ対策、運用の詳細は、基本方針よりも個別のリスク対応計画や運用手順などで扱う内容です。基本方針は個別システムの詳細ではなく、組織全体の方向性を示します。

学習のポイント

基本方針と、個別のリスク分析・対策・運用手順の違いを整理して学習しましょう。