正解：ウ
各選択肢の解説
アISMS認証を取得し、認証機関から登録証の発行を受ける。
誤り。ISMS認証は、認証機関が組織のISMSを審査して登録する第三者認証です。 どちらも「対策ができている」ことを示す点で混同しやすいですが、SECURITY ACTION は 第三者の審査を受けない自己宣言の制度で、認証の取得は要件ではありません。
イ自社診断で一定以上の得点になるまで、対策を進めてから申し込む。
誤り。二つ星の要件は自社診断を「実施したこと」で、得点は問われません。 診断は自社の弱点を知る出発点なので、点が低くても申し込めます。 合格点のある審査と思い込むと、宣言を先送りしてしまいます。
ウ情報セキュリティ全般についての基本方針を定め、外部に公開する。
正解。二つ星は、自社診断の実施に加えて、情報セキュリティ基本方針を定めて 外部に公開することが要件です。この会社は自社診断を済ませているので、 残っているのは基本方針の策定と公開です。
エ掲載中の個人情報保護方針を、基本方針として扱って申し込む。
誤り。IPAは、個人情報保護方針の公開は情報セキュリティ基本方針の公開とはみなせない としています。どちらも「方針」としてWebに載せる点が似ていますが、守る対象が 個人情報に限られるか、情報セキュリティ全般かが違います。
理解を深めるために
二つ星は「診断した」と「方針を外に示した」の2つがそろって宣言できる
SECURITY ACTION は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの制度です。 星は2段階あります。お店の入口に「当店は衛生管理に取り組んでいます」と貼り出すのに近く、 誰かに検査してもらって合格証をもらう仕組みではありません。
一つ星と二つ星の要件
- 一つ星: 「情報セキュリティ6か条」に取り組むことを宣言する。対策を実施する前でも申し込める
- 二つ星: 「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を定めて外部に公開する
自社診断は得点を問われません。基本方針の公開先は自社サイトが多いものの、IPAは会社案内や パンフレットへの記載なども例に挙げています。 ISMS（ISO/IEC 27001）の基本方針を公開している場合は、二つ星の取組に当たるとされています。 一方で、個人情報保護方針は個人情報の扱いに限った方針なので、情報セキュリティ基本方針の代わりにはなりません。
混同しやすいものとの違い
| 取組 | 二つ星との関係 |
|---|---|
| 情報セキュリティ基本方針の公開 | 自社診断と並ぶ二つ星の要件 |
| ISMS認証の取得 | 第三者認証。要件ではない（ISMSの基本方針の公開は二つ星の取組に当たる） |
| 自社診断の得点 | 問われない。実施したことが要件 |
| 個人情報保護方針の公開 | 情報セキュリティ基本方針の公開とはみなされない |
二つ星の場面では、「自社診断を済ませたか」と「情報セキュリティ全般の方針を外に示したか」の 2点を確かめると、残っている作業が見分けられます。