令和4年度 ITパスポート試験 公開問題 問85

情報セキュリティポリシは、一般的に組織の情報セキュリティに対する取り組みを文書化したものであり、「基本方針（ポリシー）」「対策基準（スタンダード）」「実施手順（プロシージャ）」の3階層で構成されます。

• 基本方針: 組織の経営陣（トップマネジメント）が、情報セキュリティに対する根本的な考え方や姿勢（意思）を宣言したものです。
• 対策基準: 基本方針に基づき、具体的に何を守るべきか、どのような対策を行うべきかのルールや基準を定めたものです。
• 実施手順: 対策基準を実施するための具体的な作業手順やマニュアルなどを定めたものです。

各選択肢の解説

• ア（正解）: 適切です。基本方針は、組織のトップマネジメントによる情報セキュリティに対する意思を示したものであり、下位文書である対策基準や実施手順を定めるための基盤となります。
• イ: 実施手順は、基本方針や対策基準に基づいて日々の業務においてセキュリティ対策をどのように実施するかを定めた具体的な手順書です。方針や基準を定めるための作業記録ではありません。
• ウ: 対策基準は、情報セキュリティを確保するための具体的なルールや遵守事項を定めたものであり、文書の体裁やフォーマットの基準を示すものではありません。
• エ: 対策基準は事故発生後の対策のみならず、予防や検知など包括的なセキュリティルールの基準を示すものです。また、具体性や詳細さにおいては、対策基準よりも実施手順の方がより詳しく記述されます。