情報セキュリティ基本方針の説明として，適切なものはどれか。

選択肢

• ア一度決められた情報セキュリティ基本方針は，ビジネス環境や技術が変化しても変更すべきでない。
• イ情報セキュリティに関する組織の取組み姿勢を示したものであり，組織のトップによって承認され，公表される。
• ウセキュリティビジネスを拡大するための重点的な取組みについて，株主や一般に広く公開されるものである。
• エ組織のセキュリティの考え方に基づいて，具体的なセキュリティ施策について述べたものである。

正解と解説

正解：イ 情報セキュリティに関する組織の取組み姿勢を示したものであり，組織のトップによって承認され，公表される。

情報セキュリティ基本方針（セキュリティポリシの最上位文書）は、組織として情報セキュリティにどう取り組むかという姿勢と方向性を示すものである。経営者が承認し、社内外へ公表することで実効性を持たせる。具体的な手順や基準は下位の対策基準・実施手順で定め、環境や技術の変化に応じて見直しを行うべきものである。

選択肢ごとの解説

• ア環境や脅威の変化に合わせて定期的に見直すことが求められる。
• イ正解。組織の取組み姿勢を示し、トップが承認して公表するという説明が基本方針の性格に合致する。
• ウセキュリティ関連事業の戦略を述べたものではなく、自組織の情報を守るための方針である。
• エ具体的な施策は下位文書である対策基準や実施手順で定めるもので、基本方針の役割ではない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70