ISMS における情報セキュリティ方針に関する記述として，適切なものはどれか。
- ア機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。
- イ情報セキュリティ対策は一度実施したら終わりではないので，ISMS を継続的に改善するコミットメントを含める必要がある。
- ウ部門の特性に応じて最適化するので，ISMS を適用する組織全体ではなく，部門ごとに定める必要がある。
- エボトムアップを前提としているので，各職場の管理者によって承認される必要がある。
正解と解説を見る
正解
イ 情報セキュリティ対策は一度実施したら終わりではないので，ISMS を継続的に改善するコミットメントを含める必要がある。
情報セキュリティ方針は，情報セキュリティ対策が一度実施すれば終わりというものではなく，PDCAサイクルを通じてISMSを継続的に改善していくという経営層のコミットメントを盛り込む必要がある文書である。社内限定の機密文書ではなく組織内外に周知すべきものであり，部門ごとではなく組織全体で一つ定めるべきものであるため，他の選択肢は不適切である。