ITパスポート 過去問
令和7年度
問84 (テクノロジ系 問29)

機密事項ではなく情報セキュリティ方針を記載しています。

必要であれば社外に公開することもあるため、本選択肢は不正解です。

環境やリスクは常に変化しているため継続的な改善が必要です。

そのため本選択肢が正解です。

部門ごとに異なる方針を立てると、組織全体の整合性が失われる恐れがあるため、組織全体で一貫して定めます。

そのため本選択肢は不正解です。

経営層が承認するトップダウン型の方針であるため、本選択肢は不正解です。

不適切。情報セキュリティ方針は、社内だけでなく社外にも伝達する必要があります。

これが正解です。

不適切。ISMSを組織全体に適応するのであれば、組織全体で定める必要があります。

不適切。ISMSにおける情報セキュリティ方針はトップダウンが基本です。

「情報セキュリティ方針」とは、情報漏洩などのセキュリティ事故を防ぐために「〜といったことに気をつけましょう」といった社内ルールのようなものであり、社員全員に周知こそする必要があります。

なので「機密事項」とするようなものではありません。

「ランサムウェア」や「標的型攻撃」など、攻撃者による攻撃手法は常に進化していっています。

 そうした脅威に対抗していくには、その時の状況に応じて「情報セキュリティ方針」も更新していく必要があります。（正解）

「情報セキュリティ方針」は企業の上位層が定め、それが各部門へと適用されていくものです。

 選択肢の文章ですと、そのプロセスが逆です。

ボトム＝下位層（つまりは部署・部門）→アップ=上位層（経営者・マネジメント層）ということですが、これは「情報セキュリティ方針」が適用されるプロセスが逆です。