平成21年度春期 プロジェクトマネージャ 午前Ⅰ 問14

方針の役割を整理する視点

文書名や表現の印象だけで判断せず、組織の意図と実際の管理活動がどのようにつながるかを、全体の構造に沿って確認しましょう。その関係が一貫して説明できるかを考え、個別の語句ではなく役割の境界と連携に注目します。

この問題で問われていること

この問題では、情報セキュリティに関する事項が、組織の目的・責任・運用の流れの中でどの位置に置かれているかを一つの観点として確認し、各記述がその関係を無理なく説明できるかを考えます。

視点

判断対象の記述を読むときは、まず誰が何を目指すためのものかを抽象化し、次に他の管理要素とのつながりや適用範囲を整理します。最後に、全体の説明に余分な飛躍や役割の混同がないかを見直し、印象ではなく構造の整合性で比較します。

確認ポイント

• 記述が示す対象と、その対象が担う役割を分けて読めているか
• 上位の意図から日常の活動まで、説明のつながりに飛躍がないか
• 他の管理要素との関係を、書かれていない前提で補いすぎていないか

正解

イ

解説

情報セキュリティ基本方針は、経営陣が情報セキュリティに取り組む方向性と支持を示し、組織全体の活動の基礎となる文書です。機密文書として隠すものでも、変更を禁止するものでも、特定システムの詳細手順を記述するものでもない。

理由

ISMSの情報セキュリティ基本方針は、経営陣が情報セキュリティに対してどのような方向性を示し、どのように支持するかを規定する。したがって、組織全体の活動を導く経営レベルの文書です。

比較

基本方針は、特定システムの詳細なリスク分析や運用手順を記述する資料とは役割が異なる。また、環境や技術の変化に応じて見直す必要があり、内容を永久に変更してはならないものではありません。

選択肢ア

これは不正解だよ。情報セキュリティ基本方針は、経営陣の考え方や組織の方向性を関係者に周知し、活動の基礎とする文書である。重要な内容を扱うとしても、社内の関係者以外の目に触れないようにする機密文書と定義されるものではない。

選択肢イ（正解）

これは正解だよ。情報セキュリティ基本方針は、情報セキュリティに取り組む経営陣の方向性及び支持を規定する文書である。組織全体の目標や責任の考え方を示し、具体的な規程や対策を作成する際の基礎となる。

選択肢ウ

これは不正解だよ。基本方針はセキュリティに関する基本的な考え方を示すが、ビジネス環境や技術の変化があっても変更してはならないものではない。ISMSでは、状況の変化や組織の必要性に応じて、方針を適切に見直すことが求められる。

選択肢エ

これは不正解だよ。特定のシステムのリスク分析結果や、セキュリティ対策及びシステム運用の詳細は、リスク分析資料、規程、手順書などで扱う内容である。情報セキュリティ基本方針は、個別システムの詳細ではなく組織全体の方向性を示す。

学習のポイント

基本方針の役割と、規程・手順・リスク分析資料との違いを整理する。