ITパスポート試験 ITパスポート 2022年 (令和4年) 問85: 情報セキュリティポリシを,基本方針,対策基準,実施手順の三つの文書で構成したとき,これらに関する説明のうち,適切なものはどれか。

正解

ア. 基本方針は,対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。

正答率 64.1%（1,115人中 715人が正解）

問題の解説

情報セキュリティポリシは、基本方針、対策基準、実施手順の階層で構成する。基本方針は、組織として情報セキュリティにどう取り組むかというトップマネジメントの意思を示す最上位の文書である。これに基づいて、守るべき具体的な事項を定めた対策基準と、実際の作業手順を示した実施手順が作られる。

選択肢ごとの解説

• ア正しい。基本方針は、トップマネジメントの意思を示す最上位の文書で、対策基準や実施手順を定める拠り所となる。
• イ実施手順は、対策基準を具体的な業務の手順に落とし込んだものであり、基本方針と対策基準を定めるために行った作業を記録した文書ではない。
• ウ対策基準は、基本方針を実現するために守るべき事項を具体的に示した文書であり、ポリシの文書を作るための書式の基準ではない。
• エ対策基準は事故の後の対策に限らず、守るべき基準を示す文書である。具体的な手順を詳しく記述するのは、対策基準ではなく実施手順の役割である。