重要度：A 論点：方針の承認と周知
問1：情報セキュリティ方針は、組織としての情報セキュリティに関する方向性を示し、経営陣による承認の下で組織内に周知する。
解答を見る
○：情報セキュリティ方針は、組織の目的に沿った情報セキュリティの基本的な方向性を示すものであり、経営陣の関与と承認の下で定め、関係者へ周知することが重要である。
重要度：A 論点：ポリシーの対象範囲
問2：情報セキュリティポリシーの対象は情報システムだけであり、紙文書、従業員、委託先及び施設の管理は含まれない。
解答を見る
×：情報セキュリティは情報システムだけでなく、紙文書、人、委託先、施設などを含む情報資産全体を対象とする。ポリシーも組織的・人的・物理的・技術的な観点を含めて整備する必要がある。
重要度：B 論点：ポリシーの3階層
問3：一般に、情報セキュリティ方針で基本的な方向性を示し、対策基準で遵守すべき基準を定め、実施手順で具体的な作業方法を示す。
解答を見る
○：方針、対策基準、実施手順は抽象度が異なる。上位文書の方向性と基準を、下位の具体的な手順へ落とし込み、相互に矛盾しないよう管理する。
重要度：B 論点：基本方針の公表
問4：情報セキュリティ基本方針は組織内部の機密文書であり、社外へ公表してはならない。
解答を見る
×：情報セキュリティ基本方針は、組織の取組み姿勢を社内外へ示すため公表されることがある。どの文書を公表するかは、内容、対象者、機密性などを踏まえて決定し、詳細な内部手順は通常、必要な関係者に限定して管理する。
重要度：B 論点：例外管理
問5：情報セキュリティ規程は例外を一切認めないことが理想なので、例外を申請・承認・記録する手続を設ける必要はない。
解答を見る
×：業務上やむを得ない例外が生じる場合に備え、対象、期間、代替策、承認者などを明確にした例外管理手続を設けることが重要である。無管理の例外は統制の形骸化につながる。
コメント