情報セキュリティ運営委員会の役割と責務(2)

「(2)「情報セキュリティポリシー」の流布責任」についてですが、
「情報セキュリティポリシー」の策定、改訂に伴い、全ての対象者(従業員)に配布する責任があるということですが、そこに書かれている内容を従業員のその属性で、役員・社員と協働者が同じでいいかや、迅速に末端まで届けるために如何なる方法、紙なのか電子的になのか、機密性を保つべきかどうかといったことを考えるということがすべきことなので、論理的には大した内容ではありません。
企業の大きさにもだいぶ左右されますが、あくまで、このイベントは始まりであって、ポリシーに基づく、規程類、実施要領に対する策定、改訂とかの方が、重い作業となるでしょう。
ところで、ポリシーがそんなに変わるか？という話ですが、どくまで、ポリシーに記述するかにもよりますが、時代に左右される要素は少ないはずであり、業務と密着し、時代の変化も考慮しない規程類(ルール)と比較すれば、確率的にも変動は少ないはずです。そもそも方向性について書くものなので、そう変更がないようにすべきとも言えます。一方、規程類(ルール)は、「ルールは破られるためにある！」とも言うように、革新していくのであれば、変更は大歓迎とすべき気はします。