情報セキュリティポリシに関する考え方のうち、適切なものはどれか。

選択肢

• アいかなる情報資産に対しても、実施する対策の費用は同一であることが望ましい。
• イ情報セキュリティポリシの構成要素の最上位にある情報セキュリティ基本方針は、経営者を始めとした幹部だけに開示すべきである。
• ウ情報セキュリティポリシの適用対象としては、社員だけでなく、パートなども含めた全従業者とすべきである。
• エ情報セキュリティポリシを初めて作成する場合は、同業他社のポリシをサンプルとして、できるだけそのまま利用することが望ましい。

正解と解説

正解：ウ 情報セキュリティポリシの適用対象としては、社員だけでなく、パートなども含めた全従業者とすべきである。

情報セキュリティポリシは、その組織で情報を扱うすべての人に守らせる必要がある。正社員だけを対象にすると、パートや派遣、委託先など他の立場の人が抜け穴になってしまうため、全従業者を適用対象とするのが適切である。

選択肢ごとの解説

• ア対策の費用は資産の重要性やリスクの大きさに応じて配分すべきで、一律にする必要はない。
• イ基本方針は組織内外へ周知してこそ機能するもので、幹部だけに限る必要はない。
• ウパートなども含めた全従業者を対象とするのが適切である。
• エ他社のポリシをそのまま流用しても、自社の実態やリスクに合わない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70