企業の情報セキュリティポリシの策定及び運用に関する記述のうち、適切なものはどれか。

選択肢

• ア各セキュリティ対策ソフトウェアに設定すべき内容の定義を明確にしなければならない。
• イ経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について、社員への説明を率先して推進しなければならない。
• ウ情報セキュリティポリシの策定においては最初に、遵守すべき行為及び判断の基準を策定しなければならない。
• エ目標とするセキュリティレベルを達成するために、導入する製品を決定しなければならない。

正解と解説

正解：イ 経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について、社員への説明を率先して推進しなければならない。

情報セキュリティポリシは全社的な取組みであり、実効性をもたせるには経営トップが自ら方針を示し、社員への周知と徹底を率先して進めることが不可欠である。策定はまず基本方針を定めてから対策基準、実施手順へと具体化していく順で行い、個別製品の選定や設定値の定義は手順レベルで扱う事項である。

選択肢ごとの解説

• ア個々の製品の設定内容は実施手順のレベルで定める事項で、ポリシ全体の要点ではない。
• イ経営トップが率先して方針を示し周知する、という記述が適切。
• ウ最初に定めるのは基本方針であり、遵守すべき行為の基準はその後の対策基準にあたる。
• エ製品の決定は方針・基準を定めた後の実装段階の話。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70