正答4
解説
正解は4です。
この問題は、情報セキュリティ方針（ポリシー）の正しい考え方を問うています。
情報セキュリティ方針は、組織が情報セキュリティにどう取り組むかを示す、経営陣が承認した文書です。
組織の実情に合わせて作り、従業員や関係者に周知し、定期的に見直す必要があります。
【選択肢別解説】
1：× 情報セキュリティ方針は、一度定めたら変えないものではありません。
事業や組織、技術、脅威の変化に応じて、定期的に、また必要に応じて見直します。
2：× 情報セキュリティ方針には、実現できない理想像ではなく、組織として実際に取り組む内容を記載します。
組織の実情に合った実行可能なものにすることが大切です。
3：× 情報セキュリティ方針は、従業員や関係する外部の人々に周知する文書です。
基本方針は、Webサイトなどで社外に公開することもあります。
4：○ 情報セキュリティ方針は、自社の事業内容、組織の特性、所有する情報資産の特徴を考慮して策定します。
記述と一致します。
【ポイント】
情報セキュリティポリシーは、一般に基本方針、対策基準、実施手順の階層で構成されます。
基本方針は経営陣が承認し、組織内外に示すことで、取組みの姿勢を明らかにします。