組織で策定する情報セキュリティポリシに関する記述のうち、最も適切なものはどれか。

選択肢

• ア情報セキュリティ基本方針だけでなく、情報セキュリティに関する規則や手順の策定も経営者が行うべきである。
• イ情報セキュリティ基本方針だけでなく、情報セキュリティに関する規則や手順も社外に公開することが求められている。
• ウ情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが、最上位の情報セキュリティ基本方針は業界標準の雛形をそのまま採用することが求められている。
• エ組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも、情報セキュリティ基本方針は組織全体で統一させるべきである。

正解と解説

正解：エ 組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも、情報セキュリティ基本方針は組織全体で統一させるべきである。

情報セキュリティポリシは、組織としての基本的な考え方を示す基本方針と、それを具体化した対策基準・実施手順という階層で構成される。最上位の基本方針は組織全体の拠り所となるため、部門ごとに実施する対策が異なっていても、方針そのものは全社で統一しておく必要がある。

選択肢ごとの解説

• ア基本方針は経営者が定めるが、詳細な規則や手順は現場を知る部門が具体化するのが一般的。
• イ公開が想定されるのは基本方針であり、具体的な手順まで公開すると攻撃の手掛かりを与える。
• ウ基本方針こそ自組織の事業や価値観を反映すべきで、雛形をそのまま使えばよいものではない。
• エ正しい。基本方針は組織全体で統一し、個別の対策はその下で状況に応じて定める。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70