令和3年度 ITパスポート試験 公開問題 問96

情報セキュリティ方針は、組織のトップマネジメントが情報セキュリティに対する意図や方向性を宣言する基本方針です。策定にあたっては、組織の目的、事業内容、組織の特性、および所有する情報資産の特徴を十分に考慮し、自社に適した内容にする必要があります。したがって、エが適切です。

各選択肢の解説

• ア：情報セキュリティを取り巻く環境の変化（技術動向、法令改正、事業内容の変更など）や監査結果に応じて、定期的にまたは必要に応じて見直し・改訂を行う必要があります。「一度定めた内容は変更してはいけない」という記述は誤りです。
• イ：情報セキュリティ方針は、達成困難な「理想像」を記載するものではなく、組織として確実に実行し遵守すべき実現可能な指針やルールを示す必要があります。
• ウ：情報セキュリティ方針は、従業員だけでなく、顧客や取引先などの社外のステークホルダーに対しても公開し、組織の取り組み姿勢を周知することが望まれます。「社外に非公開として厳重に管理する」という記述は誤りです。
• エ：正解です。自社の事業内容、組織の特性、所有する情報資産の特徴などを総合的に考慮して策定する必要があります。