附属書A解説

方針には、なぜ情報セキュリティに取り組むのか、組織としてどこまでのリスクを許容するのかといった基本姿勢を盛り込みます。
策定して終わりではなく、事業内容や組織体制の変化、法令改正、重大なインシデントの発生などに応じて、あらかじめ決めた頻度で定期的に見直す必要があります。
方針の策定・承認・周知・見直しという一連の流れを、誰が・いつ・どのように行うかまで具体的に決めておくことが実務上のポイントです。
取引先や監査機関に説明する際の土台にもなります。
たとえば、テレワークの普及や新しいクラウドサービスの導入など、働き方や利用するシステムが変われば、方針の内容も見直しが必要になります。
方針が「社内のどこかに保管されているだけの文書」にならないよう、朝礼や社内報、イントラネットなど複数の手段で継続的に周知することも効果的です。