解説

情報セキュリティ方針（セキュリティポリシー）は、組織の情報セキュリティに関する基本的な考え方や方向性を示す文書です。これは組織の特性、事業内容、保有する情報資産の性質などを十分に考慮して策定する必要があります。例えば、医療機関と製造業では守るべき情報資産の性質が異なるため、それぞれの特性に応じたセキュリティ方針が必要となります。正解のDは、このような組織固有の状況を考慮してセキュリティ方針を策定することの重要性を適切に示しています。

なぜ他の選択肢は違うのか

選択肢 ア

セキュリティ方針は、技術の進歩や新たな脅威の出現、法規制の変更などに応じて適宜見直し・更新する必要があります。「変更してはいけない」という考えは、セキュリティ対策の実効性を損なう可能性があります。

選択肢 イ

セキュリティ方針は理想像を示すだけでなく、具体的な対策の方向性や組織としての取り組み姿勢を明確に示す必要があります。単なる理想論では実効性のある対策につながりません。

選択肢 ウ

セキュリティ方針は、組織の姿勢を示すものとして従業員や取引先、顧客などのステークホルダーに広く周知されるべきものです。むしろ積極的に公開することで、組織のセキュリティへの取り組みを示すことができます。

解くときのポイント

情報セキュリティ方針は、組織の「顔」となる重要な文書です。理想論に走らず、現実的で実行可能な内容であること、また組織の特性に合わせて具体的な方向性を示すことが重要です。定期的な見直しと更新も必要不可欠な要素です。