問80 ISMSに関する記述のうち，適切なものはどれか。
- アISMSのマネジメントサイクルは，セキュリティ事故が発生した時点で開始し，セキュリティ事故が収束した時点で終了する。
- イISMSの構築，運用は，組織全体ではなく，必ず部門ごとに行う。
- ウISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。
- エ情報セキュリティ方針は，具体的なセキュリティ対策が記述されたものである。
正解と解説を見る
正解
ウ ISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。
正解は「ISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。」である。ISMS(情報セキュリティマネジメントシステム)では、まず組織が保有する情報資産を洗い出し、それぞれのリスクを評価した上で適切な対策を決定することが基本的な流れである。ISMSのマネジメントサイクルは事故発生時だけでなく、PDCAサイクルとして継続的に運用されるものであり、事故の発生・収束で区切られるものではないため誤り。ISMSは特定部門だけでなく組織全体で構築・運用することが原則であるため誤り。情報セキュリティ方針は組織としての基本的な考え方や姿勢を示す上位文書であり、具体的な対策手順を記述したものではないため誤りである。