正答2
解説
正解は2です。
情報セキュリティ方針は、組織の情報セキュリティに対する基本的な考え方や取組みの姿勢を示す文書です。
JIS Q 27001では、トップマネジメントが確立し、ISMSの継続的改善へのコミットメントを含めることなどが求められています。
【選択肢別解説】
1：× 情報セキュリティ方針は組織の基本姿勢を示すもので、機密事項を書く文書ではありません。
組織内に伝達し、必要に応じて利害関係者も入手できるようにします。
2：○ 情報セキュリティ対策は、状況の変化に合わせて見直し続ける必要があります。
方針にISMSを継続的に改善するという約束（コミットメント）を含めることが求められています。
3：× 情報セキュリティ方針は、ISMSを適用する組織全体として定めます。
部門ごとの具体的な手順は、方針に基づいて別に定めます。
4：× 情報セキュリティ方針は、トップマネジメント（経営陣）が確立します。
ボトムアップで各職場の管理者が承認するものではありません。
【ポイント】
情報セキュリティ方針はトップダウンで定め、組織内に周知します。
方針には、情報セキュリティ目的の枠組みや要求事項を満たすことへの約束も含めます。