情報セキュリティポリシに関する記述のうち、適切なものはどれか。

選択肢

• ア企業のセキュリティポリシは、会社法の規定に基づき、株主総会で承認を得なければならない。
• イ企業のセキュリティポリシは、導入するシステムごとに定義する必要がある。
• ウセキュリティポリシ策定の要因となっている情報システムの脆弱性を対外的に公表しなければならない。
• エ目標とするセキュリティレベルを達成するために、遵守すべき行為及び判断についての考え方を明確にすることが必要である。

正解と解説

正解：エ 目標とするセキュリティレベルを達成するために、遵守すべき行為及び判断についての考え方を明確にすることが必要である。

情報セキュリティポリシは、組織として守るべき情報セキュリティの方針と行動基準を定めた文書である。目指す水準を示し、そこへ至るために何を守り、判断に迷ったときにどう考えるかを明確にすることが目的となる。個別システムごとではなく組織全体を対象とし、脆弱性の内容は公表せずに管理すべき情報である。

選択肢ごとの解説

• ア株主総会の承認を要するという法定の手続きはない。
• イ組織全体の方針として定めるもので、システムごとに定義するものではない。
• ウ脆弱性の公表は攻撃を招くため、むしろ避けるべき。
• エ遵守すべき行為と判断の考え方を明確にするという、ポリシの目的に合致する。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70