ISMSにおける情報セキュリティ方針に関する記述として、適切なものはどれか。

選択肢

• ア機密事項が記載されているので、伝達する範囲を社内に限定する必要がある。
• イ情報セキュリティ対策は一度実施したら終わりではないので、ISMSを継続的に改善するコミットメントを含める必要がある。
• ウ部門の特性に応じて最適化するので、ISMSを適用する組織全体ではなく、部門ごとに定める必要がある。
• エボトムアップを前提としているので、各職場の管理者によって承認される必要がある。

正解と解説

正解：イ 情報セキュリティ対策は一度実施したら終わりではないので、ISMSを継続的に改善するコミットメントを含める必要がある。

情報セキュリティ方針は経営層が組織全体に対して示す最上位の宣言で、要求事項を満たすことと、ISMSを継続的に改善していくという約束（コミットメント）を含める必要があります。トップダウンで承認され、関係者に広く伝達される点も特徴です。

選択肢ごとの解説

• ア方針は取引先などにも示せるよう公開されるのが一般的です。
• イ継続的改善へのコミットメントを含めるという、方針の要件どおりです。
• ウ方針は部門単位ではなく組織全体に対して定めます。
• エ方針は経営層が承認するもので、ボトムアップではありません。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70