ISMS における情報セキュリティ方針に関する記述として，適切なものはどれか。

テクノロジ系

ア機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。

なぜ違う: 情報セキュリティ方針は機密事項を含まず，社外の利害関係者にも表明すべきものなので社内限定は誤り。

イ情報セキュリティ対策は一度実施したら終わりではないので，ISMS を継続的に改善するコミットメントを含める必要がある。

ウ部門の特性に応じて最適化するので，ISMS を適用する組織全体ではなく，部門ごとに定める必要がある。

なぜ違う: 情報セキュリティ方針は部門ごとではなく組織全体で統一して定めるものなので誤り。

エボトムアップを前提としているので，各職場の管理者によって承認される必要がある。

なぜ違う: 情報セキュリティ方針はトップダウンで経営層により承認されるものでありボトムアップ前提は誤り。

正解: イ

要点: 情報セキュリティ方針には継続的改善のコミットメントを含める必要がある。

情報セキュリティ対策は一度実施して終わりではなく継続的な見直しが必要であり，情報セキュリティ方針にはISMSを継続的に改善するというコミットメント（経営層の意思表明）を含める必要がある。方針は組織全体で定め，社内外に表明し，トップダウンで承認される。

関連キーワード: ISMS・情報セキュリティ方針・セキュリティ

アプリで弱点分析つきの演習ができます

App Store

出典：令和7年度 ITパスポート試験公開問題問84