ITパスポート試験 ITパスポート 2014年 (平成26年 春期) 問75: 情報セキュリティポリシに関する文書を、基本方針、対策基準及び実施手順の三つに分けたとき、これらに関する説明のうち、適切なものはどれか。

正解

ア. 経営層が立てた基本方針を基に、対策基準を策定する。

正答率 71.4%（975人中 696人が正解）

問題の解説

情報セキュリティポリシは、組織の方針を最上位に置き、それを具体化する形で文書を作る。経営層が示す基本方針を基に、守る水準や規則を定めた対策基準を作り、さらにそれを現場で実行できるように落とし込んだ実施手順を作る。上位の文書から下位の文書へ向かって策定する。

選択肢ごとの解説

• ア正しい。経営層が示す基本方針に沿って、それを具体化した対策基準を策定する。
• イ実施手順から基本方針を作るのは逆である。基本方針が先にあり、実施手順は対策基準を基に作る。
• ウ実施手順は対策基準を具体化したものなので、手順から基準を作るのは順序が逆である。
• エ基本方針が最上位の文書で、対策基準はそれを基に作る。対策基準から基本方針を作るのは逆である。