平成21年度 春期 応用情報技術者試験 午前 問40

• ア: 重要な基本方針を定めた機密文書であり，社内の関係者以外の目に触れないようにする。
  誤り。情報セキュリティ基本方針は，従業員や関係する外部の者に公表し，周知すべきものです。

• イ: 情報セキュリティのための経営陣の方向性及び支持を規定する。
  正しい。ISMS認証の基準であるJIS Q 27001の附属書AやJIS Q 27002では，情報セキュリティ基本方針の目的を「情報セキュリティのための経営陣の方向性及び支持を規定する」こととしています。

• ウ: セキュリティの基本方針を述べたものであり，ビジネス環境や技術が変化しても変更してはならない。
  誤り。基本方針は，あらかじめ定めた間隔で，又は重大な変化が発生した場合にレビューし，必要に応じて見直すことが求められます。

• エ: 特定のシステムについてリスク分析を行い，そのセキュリティ対策とシステム運用の詳細を記述したものである。
  誤り。個別のシステムの対策や運用の詳細は，対策基準や実施手順に記述するものです。

答え

イ: 情報セキュリティのための経営陣の方向性及び支持を規定する。

※ISMS適合性評価制度は，現在はISMS-AC（情報マネジメントシステム認定センター）が運営するISMS認証として継続しています。