ITパスポート試験 ITパスポート 2019年 (平成31年 春期) 問85: 情報セキュリティポリシを,基本方針,対策基準及び実施手順の三つの文書で構成したとき,これらに関する説明のうち,適切なものはどれか。

正解

ウ. 実施手順は,対策基準として決められたことを担当者が実施できるように,具体的な進め方などを記述したものである。

正答率 69.4%（1,358人中 942人が正解）

問題の解説

情報セキュリティポリシは、基本方針、対策基準、実施手順の階層で構成する。基本方針は経営者が示す組織としての取組み姿勢、対策基準はそれを実現するために守るべき規則や基準、実施手順は対策基準を担当者が実行できる具体的な作業手順である。

選択肢ごとの解説

• ア基本方針は最上位の文書で、経営者が示す。対策基準や実施手順は基本方針に基づいて作られるので、順序が逆である。
• イ事故発生時の行動を記すマニュアルは、緊急時対応計画などの役割である。基本方針は、情報セキュリティに対する組織の基本的な考え方や取組み姿勢を示すものである。
• ウ正しい。対策基準で決めた内容を担当者が実行できるよう、具体的な手順に落とし込んだ文書である。
• エ対策基準は、基本方針を実現するために守るべき規則や基準を定めたものである。基本方針や実施手順に何を書くかを定める文書ではない。