令和7年度 問84｜情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン

正解：イ 情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。

ポイント

ISMS における情報セキュリティ方針について、適切な記述を選ぶ問題です。

考え方と解き方

方針は、組織全体の向きを示すもので、対策は一度で終わらず、続けて見直します。「社内に限定」「部門ごと」「ボトムアップ」のように、範囲や決め方を限る言い方に引かれると誤ります。

1. 情報セキュリティ対策は一度実施したら終わりではないので、方針には、ISMS を継続的に改善するという組織の約束（コミットメント）を含めます。
2. したがって、適切なのは イ です。

ほかの選択肢

• ア 方針は、組織内に伝え、必要に応じて利害関係者も入手できるようにします。機密事項だから社内に限る、という物ではありません。
• ウ 方針は、ISMS を適用する組織全体で定めるもので、部門ごとに別々に定めるものではありません。
• エ 方針は、トップマネジメントが確立し、承認する物です。各職場の管理者が承認する物ではありません。

覚えておくこと

• 方針に含める物：情報セキュリティを継続的に改善する、組織の約束
• 情報セキュリティ方針（ポリシー）：組織全体で定める、対策の基本方針

（テーマ・覚えること）