修了試験 2015-01-25実施分 基本情報技術者試験 問38

解説

正解は3です。 ISMS（Information Security Management System、情報セキュリティマネジメントシステム）では、組織の情報セキュリティの方針群を定めることが求められます。 管理策の規格（JIS Q 27002）では、その目的を「経営陣の方向性及び支持を規定するため」としています。 【選択肢別解説】 1：× 情報セキュリティの方針は、従業員や関係する外部の者に公表し、周知する必要があります。 機密文書として隠すものではありません。 2：× 方針群は、あらかじめ定めた間隔で、または重大な変化が起きたときにレビューし、必要なら見直します。 変更してはならないものではありません。 3：○ 方針群は、情報セキュリティに対する経営陣の方向性と、経営陣がそれを支持することを示すものです。 組織全体の取組みの基礎になります。 4：× 特定のシステムのリスク分析や、セキュリティ対策と運用の詳細を記述するのは、対策基準や実施手順の役割です。 方針群は組織全体の考え方を示すもので、運用の細部までは記述しません。 【ポイント】 情報セキュリティポリシは、基本方針、対策基準、実施手順の階層で構成されるのが一般的です。 基本方針は経営陣が承認し、周知し、定期的に見直すと覚えます。