附属書A解説

情報セキュリティは現場任せにできるものではなく、経営レベルの意思決定が伴って初めて実効性を持ちます。
経営陣が定期的にマネジメントレビューへ参加し、リスクの状況や対応状況を把握したうえで、必要な改善指示を出すことが期待されます。
経営陣の関与が形式的なものにとどまっていないか、議事録などの記録を通じて説明できるようにしておくことが実務上のポイントです。
経営陣の関与を示す具体的な方法としては、年に1〜2回のマネジメントレビューでリスクアセスメントの結果や監査結果を報告し、
経営陣からのコメントや指示を議事録に残すことが挙げられます。
予算配分の判断に情報セキュリティの観点が反映されているかどうかも、関与の度合いを測る目安になります。