情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問9: IPA“中小企業の情報セキュリティ対策ガイドライン（第 2.1 版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する

正解

イ. 組織の規模が小さい場合は，対策基準と実施手順を併せて 1 階層とし，基本方針を含めて 2 階層の文書構造として策定してもよい。

正答率 69.1%（110人中 76人が正解）

問題の解説

本問は情報セキュリティポリシの3階層構造（基本方針・対策基準・実施手順）の扱いを問うている。組織の実情に応じて構造は柔軟でよく、規模が小さい場合は対策基準と実施手順をまとめて1階層とし、基本方針と合わせて2階層構造とすることもできるため、正解はイである。

選択肢ごとの解説

• ア誤り。基本方針や対策基準は組織全体・全従業員を適用範囲とするのが通常であり、経営者のみを適用範囲とするのは適切でない。
• イ正しい。小規模組織では対策基準と実施手順を1階層にまとめ、基本方針を含めた2階層構造としてもよい。
• ウ誤り。基本方針は組織全体で1つ定めるものであり、システムソフトウェアごとに複数の基本方針を策定するわけではない。
• エ誤り。策定は組織の意思を示す基本方針を最上位として定め、それに従い対策基準・実施手順を具体化する順序が基本である。