ITパスポート試験 - 令和3年 - 問96

情報セキュリティ方針に関する記述として，適切なものはどれか。

ア	一度定めた内容は，運用が定着するまで変更してはいけない。
イ	企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。
ウ	企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。
エ	自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。

◀ 問95　|　▲ 令和3年問題一覧　|　問97 ▶

答え：エ
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説：
「ア」… 不適切。情報セキュリティ方針は，運用の進行に伴い必要に応じて見直し，改善が行われるべきです。

「イ」… 不適切。情報セキュリティ方針は単なる理想像を示すものではなく，実際的で具体的な目標や方針を明確にするものです。

「ウ」… 不適切。基本的には組織内で共有すべきものですが，外部の関係者にも一定程度公開される場合があります。隠さなければならない情報を書くものではありません。

「エ」… 正解。情報セキュリティ方針は，組織の事業内容や情報資産，組織の特性に合わせて策定するべきです。自社の状況に応じたセキュリティ方針を定めることで，効果的なセキュリティ対策が実施でき，現実的なリスク管理が可能になります。