解説

ISMS（情報セキュリティマネジメントシステム）における情報セキュリティ方針は、組織の情報セキュリティに対するトップマネジメント（経営陣）の方向性と意思を表明する文書です。JIS Q 27001が要求する情報セキュリティ方針の特徴：①トップマネジメントによる承認が必要（ボトムアップではなくトップダウン）②組織全体に適用される（部門ごとではない）③外部の利害関係者にも公開できる（機密扱いが必須ではない）④継続的改善へのコミットメント（一度やったら終わりではない）を含める必要があります。

なぜ他の選択肢は違うのか

選択肢 ア

「機密事項が記載されているので社内に限定する必要がある」は誤りです。情報セキュリティ方針は組織の情報セキュリティへの取り組み姿勢を示す文書であり、顧客・取引先・一般公開も可能です。むしろJIS Q 27001では方針を「利害関係者が入手可能であること」を要求しており、秘匿する必要はありません。

選択肢 ウ

「部門の特性に応じて部門ごとに定める」は誤りです。情報セキュリティ方針はISMSを適用する「組織全体」について定めるものです。部門ごとに個別の方針を定めることは補足的な部門方針として許容されますが、基本的な情報セキュリティ方針は全組織統一です。

選択肢 エ

「各職場の管理者によって承認される」は誤りです。情報セキュリティ方針はトップマネジメント（経営陣・取締役など）によって承認されるものです。ボトムアップで現場管理者が承認する形では、組織全体への適用力・拘束力が不十分になります。

解くときのポイント

ISMS情報セキュリティ方針の要点：①トップマネジメントが承認②組織全体に適用（部門別でない）③継続的改善へのコミットメントを含める④外部公開も可（秘密扱い必須でない）。「トップダウン・組織全体・継続改善」が三大ポイント。