情報セキュリティポリシとISMSとは？

情報セキュリティポリシとISMSの意味

組織のセキュリティ方針を文書化したものがセキュリティポリシで、一般に基本方針・対策基準・実施手順の3階層で構成する。ISMSは方針の策定から運用・点検・改善までをPDCAで継続的に回す管理の仕組みで、JIS Q 27001が規格である。

情報セキュリティポリシとISMSの具体例

基本方針で「顧客情報を保護する」と宣言し、対策基準で「持出しには申請と暗号化を要する」と定め、実施手順で具体的な申請画面の操作やツールの使い方まで落とす。監査で守られているかを点検し、不備を次期の改善につなげる。

情報セキュリティポリシとISMSは試験でどう引っ掛けられる？

基本方針は経営者が承認し、原則として社外にも公開する一方、実施手順は具体的すぎるため公開しない。また階層の順序を取り違えやすく、「基本方針が最上位・実施手順が最下位」を押さえる。

情報セキュリティポリシとISMSと関連する用語

• リスクアセスメントとリスク対応
• 脅威・脆弱性・リスクの関係
• CSIRTとインシデント対応

情報セキュリティポリシとISMSが出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…

  正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO

  要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO

  RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）