ISMSに関する記述のうち，適切なものはどれか。

選択肢

• アISMSのマネジメントサイクルは，セキュリティ事故が発生した時点で開始し，セキュリティ事故が収束した時点で終了する。
• イISMSの構築，運用は，組織全体ではなく，必ず部門ごとに行う。
• ウISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。
• エ情報セキュリティ方針は，具体的なセキュリティ対策が記述されたものである。

正解と解説

正解：ウ ISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。

ISMSでは、まず守るべき情報資産を洗い出して価値やリスクを評価し、その結果に基づいて対策を決めて運用し、PDCAで継続的に改善する。事故の有無にかかわらず平常時から継続する取組みであり、適用範囲は組織全体でも一部門でも設定できる。方針は基本的な考え方を示す文書で、具体的な手順は下位の規程や手順書に定める。

選択肢ごとの解説

• ア事故の有無にかかわらず継続的に運用する仕組みである。
• イ適用範囲は組織の状況に応じて決められ、部門ごとに限られない。
• ウ資産を特定しリスクに応じた対策を決めるという流れで正しい。
• エ方針は基本方針であり、具体的対策は下位文書に記述する。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70