情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。

なぜ違う: 情報セキュリティ管理基準はマネジメント基準と管理策基準で構成され，独立したガバナンス基準はない。

なぜ違う: 組織の状況やリスクに応じて必要な管理策を決めるため，管理策基準に挙げられたものだけに限定されない。

なぜ違う: マネジメント基準は情報セキュリティマネジメントの実施事項であり，任意に一部だけ選択する趣旨ではない。

情報セキュリティ管理基準（平成28年）は，組織の情報セキュリティマネジメントについて，JIS Q 27001:2014の要求事項とJIS Q 27002:2014の管理策を踏まえて策定されている。基準はマネジメント基準と管理策基準から構成される。