令和5年度 ITパスポート試験 問94

ISMS（情報セキュリティマネジメントシステム）における情報セキュリティ方針（Information Security Policy）は、経営トップが組織全体の情報セキュリティに対する根本的な考え方や姿勢を示す宣言です。
JIS Q 27000などの規格においても、方針は「トップマネジメントによって正式に表明された，組織の意図及び方向付け」と定義されています。したがって、情報セキュリティに対する組織の意図を示し、今後の具体的な目的や活動の方向付けを行う役割を持ちます。

各選択肢の解説

• ア: 特定のセキュリティ製品の設定値を定めたものは、方針に基づいて策定される具体的な「基準」や「手順（マニュアル）」に該当し、方針そのものではありません。
• イ: 個人情報を取り扱う部門の具体的な取扱手順を規定したものは、「個人情報保護規程」や手順書に該当します。組織全体に対する意図を示す情報セキュリティ方針とは異なります。
• ウ: 取引先企業との間で授受する情報資産の範囲と具体的な保護方法について合意したものは、「秘密保持契約（NDA）」や情報セキュリティに関する契約などに該当します。
• エ: 正解です。情報セキュリティ方針は、情報セキュリティに対する組織の意図を示し、方向付けをしたものです。