組織で策定する情報セキュリティポリシに関する記述のうち，最も適切なものはどれか。
- ア情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順の策定も経営者が行うべきである。
- イ情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順も社外に公開することが求められている。
- ウ情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが，最上位の情報セキュリティ基本方針は業界標準の雛形をそのまま採用することが求められている。
- エ組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。
正解と解説を見る
正解
エ 組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。
正解は「組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである」である。情報セキュリティ基本方針は，組織全体としてセキュリティにどう取り組むかという最上位の方針であり，各部門固有の具体的な対策や手順が異なっていても，組織としての基本方針そのものは統一されている必要がある。情報セキュリティに関する規則や手順の策定は，経営者だけでなく実務を担う関係部門が組織の実情に応じて行うべきものであり，経営者だけが行うべきとする記述は誤り。基本方針や規則・手順を無条件に社外へ公開すべきという記述も誤りであり，公開範囲は組織の判断による。また，基本方針は組織固有の目的や事業内容を踏まえて策定すべきものであり，業界標準の雛形をそのまま採用すべきという記述も誤りである。