ITパスポート 試験情報＆徹底解説

情報セキュリティ方針(ポリシー)は、組織の経営者が最終的な責任者となり「情報セキュリティに本格的に取り組む」という姿勢を示し、情報セキュリティの目標と、その目標を達成するために企業がとるべき行動を社内外に宣言する文書です。

• 有効性・妥当性を維持するために、組織内外の変化に応じて定期的な改善をすることが求められます。
• 情報セキュリティ方針には、情報セキュリティの目的とその目的を実現するための施策に対する経営陣の責任を記載します。理想像に終始し実際に守れない方針では意味がありません。
• 情報セキュリティ方針は、必要に応じて利害関係者が入手可能な状態になっていなければなりません。よって、非公開文書にするのは不適切です。基本的な考え方や取組み方を示すという位置付けで、具体的な対策手順や実施手順が記述されているわけではないので、公開しても問題はありません。
• 正しい。組織が行うべき情報セキュリティ対策は、画一的なものではなく、その組織の持つ情報や組織の規模、体制によって大きく異なります。業務形態、ネットワークやシステムの構成、保有する情報資産などを踏まえた上で、その内容に見合った情報セキュリティ方針を作成しなければなりません。