平成25年度秋期 ITサービスマネージャ 午前Ⅰ 問14

方針文書の役割を見極める視点

ISMSの基本方針を読むときは、個別の対策や運用手順そのものではなく、組織として何を目指し、どの範囲に適用し、後続の活動へどうつなげる文書かという役割に注目して整理します。

この問題で問われていること

選択肢を比べる際は、基本方針という文書の役割と、そこに書かれる内容の抽象度がかみ合っているかを一つの観点として確認し、細かな実施方法や個別事例に引きずられないようにします。

視点

文書の目的・対象・位置付けを分けて捉え、基本方針に求められる記述の粒度と、具体的な手順や個別対策の粒度を混同しないように読み進めます。

確認ポイント

• 文書が担う役割に注目する
• 記述の抽象度をそろえて比較する
• 目的と具体的手順を混同しない

正解

ウ

解説

ISMSの情報セキュリティ基本方針は、組織全体の情報セキュリティに関する経営陣の方向性と支持を示す文書です。個別システムの詳細や秘密保持そのものを定めるものではありません。

理由

情報セキュリティ基本方針は、組織として情報セキュリティに取り組むための基本的な考え方を示し、経営陣の方向性や支持を明確にします。ISMS活動全体の土台となる文書です。

比較

機密文書として隠すこと、環境変化があっても変更しないこと、特定システムの詳細なリスク分析や運用を記述することは、基本方針の本来の役割ではありません。

選択肢ア

これは不正解だよ。情報セキュリティ基本方針は、社内で秘密に囲い込む機密文書ではなく、組織の情報セキュリティに関する基本的な考え方を関係者へ示すものです。重要性はあっても、関係者以外に見せないこと自体が定義上の要件ではありません。

選択肢イ

これは不正解だよ。基本方針は情報セキュリティの基本的な考え方を示しますが、事業環境や技術、法令などの変化を無視して固定する文書ではありません。実情に合うよう、必要に応じて見直し、維持することが求められます。

選択肢ウ（正解）

これは正解だよ。ISMSの情報セキュリティ基本方針は、組織の情報セキュリティに対する経営陣の方向性と支持を明確にするものです。個別システムのリスク分析や詳細な運用手順ではなく、組織全体の活動の土台となる方針を規定します。

選択肢エ

これは不正解だよ。特定システムのリスク分析、セキュリティ対策、運用手順の詳細は、リスクアセスメント結果や実施手順など、より具体的な文書で扱う内容です。基本方針は個別システムの詳細を記述するものではありません。

学習のポイント

基本方針の役割と、個別対策・運用手順との違いを理解する。