正解は「ウ」です。 ISMS（情報セキュリティマネジメントシステム：JIS Q 27001）において、情報セキュリティ方針は、組織の最高意思決定者であるトップマネジメント（経営陣）が組織の方向性や意図を明確にし、自らのコミットメントとして確立・承認しなければならないと規定されています。経営陣が方針を明文化することで、全社的なセキュリティ体制の確立と遵守が徹底されます。 情報セキュリティ方針は、組織の事業実態や現状のリスク環境に適合した実行可能な内容でなければなりません。現状と乖離した非現実的な理想形を記述するのは不適切です。 情報セキュリティ方針は、組織内のすべての役員・従業員に周知徹底するとともに、必要に応じて取引先などの社外利害関係者にも公開できるようにしておく必要があります。 企業全体を適用範囲とする場合、基本方針は全社で統一された一貫性のあるものとして制定する必要があります。部門ごとに異なる方針を制定すると全社統制が乱れます。