ISMSの情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア情報セキュリティ方針は，トップマネジメントが確立しなければならない。
- イ情報セキュリティ方針は，社外に公表してはならない。
- ウ一度制定した情報セキュリティ方針は変更できない。
- エ個人情報や機密情報を扱わない従業者には，情報セキュリティ方針を周知しなくてもよい。
正解と解説を見る
正解
ア 情報セキュリティ方針は，トップマネジメントが確立しなければならない。
正解は「情報セキュリティ方針は，トップマネジメントが確立しなければならない。」である。ISMS(情報セキュリティマネジメントシステム)では、組織全体の方向性を示す情報セキュリティ方針を経営層(トップマネジメント)が主体的に策定し、責任を持つことが求められている。情報セキュリティ方針は組織の姿勢を示すものとして社外に公表することも推奨される場合があり、また事業環境の変化に応じて適宜見直し・改定されるべきものであって一度制定したら変更できないというのは誤りである。さらに、情報セキュリティ方針は全従業者に周知されるべきものであり、扱う情報の機密性にかかわらず一部の従業者を対象外とする記述も誤りとなる。