正解：ウ
各選択肢の解説
ア情報システム部門の担当者で構成し、機器の設定基準の細部を決める。
誤り。これは情報システム部門が担う実務です。委員会が一部門に閉じてしまうと、 他部門の業務の進め方や予算を伴う決定ができません。この案件のように部門を またいでばらつきが出ている問題は、そのままでは解けません。
イ監査部門が主体となり、規程に違反した部門を調べて処分を決める。
誤り。規程どおりに運用されているかを確かめるのは、対象から独立した立場で行う 内部監査の役割です。決める場と点検する場が同じだと、自分の決めたことを自分で 評価することになり、けん制が効かなくなります。
ウ経営層と各部門の責任者で構成し、全社の方針と対策の計画を決める。
正解。経営層が入ることで予算や人員を伴う決定ができ、各部門の責任者が入ることで 決めたことが全社に行き渡ります。方針の承認、対策計画、重大事案への対処方針を 審議して決める、組織の意思決定の場です。
エ事故が起きたときだけ招集され、復旧作業と社外への連絡を担当する。
誤り。発生後の封じ込めや関係先との連絡調整はCSIRTが担います。委員会は平時から 方針と計画を決めて体制を整えておく側で、事故時だけ動く組織ではありません。 準備を決める場がなければ、CSIRTを置くことすら決まりません。
理解を深めるために
決める場と、動く場は分けて考える
会社の防災にたとえると、避難訓練をいつやるか、消火設備にいくら使うかを決めるのは 経営会議です。実際に火が出たときに消火や誘導をするのは自衛消防隊で、設備が規則どおり 点検されているかを確かめるのは、また別の立場の人です。情報セキュリティでも、 決める・動く・確かめるは別の組織が担います。委員会は「決める」側です。
委員会が決めること
- 情報セキュリティ方針（ポリシー）の承認と見直し
- 年度の対策計画、必要な予算と人員の配分
- 重大なインシデントが起きたときの対処方針
- 部門をまたぐルールの調整
要は、経営層が加わっていることが委員会の値打ちです。予算や業務の進め方に踏み込む 決定は、担当部門だけでは下せません。
混同しやすい組織との違い
| 組織 | 役割 |
|---|---|
| 情報セキュリティ委員会 | 方針・計画・対処方針を審議して決める |
| CSIRT | インシデント発生後の対応と、社内外の連絡・調整 |
| 情報システム部門・SOC | 設定や監視といった日々の実務 |
| 内部監査部門 | 独立した立場で、規程どおりの運用かを点検する |
試験では「承認する」「方針を決める」という語が出たら委員会です。誰が集まる場かを 思い出すと、実務を担う組織と取り違えずに済みます。