正解：ウ
各選択肢の解説
ア顧客の信頼に応えるため、情報の取扱いを全社で徹底する。
誤り。方向性は方針と合っていますが、何をどこまで達成すれば「徹底した」と言えるのかが 分かりません。これでは年度末に達成できたかを確かめられず、方針の言い換えにとどまります。
イ社外へ持ち出すノートPCは、ディスクを暗号化しなければならない。
誤り。これは従業員が守るべき規則で、情報セキュリティ対策基準に書く内容です。 目的は「何を達成するか」の目標で、「何をしなければならないか」という 守るべき決まりとは役割が違います。
ウ年度末までに、顧客情報を扱う全従業員の教育の修了率を100%にする。
正解。方針の「確実に守る」を、期限と数値のある目標に落としています。 年度末に達成できたかを測って確かめられるので、取組の進み具合を 監視し、見直すことができます。
エファイアウォールの設定変更は、申請・承認・作業・記録の順で行う。
誤り。これは担当者が作業を進める順序を示した実施手順です。 どう作業するかは決まりますが、組織として何を達成したいかという目標は 示していません。
理解を深めるために
方針は「旗印」、目的は「今年のゴール」
「健康に暮らす」と決めるだけでは、何をすればよいか、できたのかが分かりません。 「年末までに体重を3kg減らす」と決めれば、進み具合を確かめて、やり方を見直せます。 情報セキュリティでも、方針が掲げる考え方を、期限と測れる中身のある目標に落としたものが 情報セキュリティ目的です。
情報セキュリティ目的に求められること
- 情報セキュリティ方針と整合している
- 可能な場合は測定できる。期限と数値があると、達成できたかを判断できる
- 達成の状況を監視し、必要に応じて見直す。そのために、誰が・いつまでに・何で測るかを決めておく
- JIS Q 27001 でも、ISMSの計画の中で、方針と整合し、測定可能（実行可能な場合）な 情報セキュリティ目的を定めることが求められている
混同しやすい文書との違い
| 文書・内容 | 役割 |
|---|---|
| 情報セキュリティ目的 | 方針に沿って、期限と測れる中身を持つ達成目標 |
| 情報セキュリティ方針 | 組織としての考え方・姿勢を示す最上位の文書 |
| 情報セキュリティ対策基準 | 従業員が守るべき規則（「〜しなければならない」） |
| 実施手順 | 担当者が作業を進める具体的な順序 |
選択肢を見分けるときは、「達成できたかを測れる目標か」「守るべき決まりか」 「作業の順序か」で切り分けます。