平成23年度 特別試験 ITパスポート試験 問63

基本方針は機密事項にはしない。基本方針は全従業員に守ってほしい行動の拠りどころであり、周知されなければ実効性を持たない。さらに、取引先や顧客に対して自組織が情報セキュリティに真剣に取り組んでいることを示す信頼の証としての役割も担うため、Web サイトなどで社外に公開するのが一般的である。理念と方針を書いた文書であって、守るべき情報資産の中身やシステム構成、脆弱性といった秘匿すべき詳細は含まない。したがって「経営上の機密事項とする」という記述は基本方針の性格を取り違えており不適切である。なお、機密として管理すべきなのは、具体的な設定値や運用手順を含む下位の文書や情報資産そのものである。

上下関係が逆である。三階層のうち基本方針が最上位にあり、対策基準は基本方針を実現するために「何をどこまでやるか」を定めた中位の規程、実施手順はそれをさらに「どう実行するか」に落とし込んだ最下位の文書である。策定は上位から下位へ、すなわち基本方針を定めた上でそれに基づいて対策基準を策定し、対策基準に基づいて実施手順を作るという順序で行う。この選択肢は「基本方針を対策基準に基づいて策定する」と述べており、下位文書を根拠に上位文書を作ることになってしまうため誤りである。

これは基本方針ではなく下位層の文書の役割である。パスワードの文字数や変更頻度といった管理方法、文書の保存場所や保存期間・廃棄方法といった内容は、対策基準や実施手順のレベルで具体的に規定される事項である。基本方針にこうした細目を書き込むと、技術や運用の変化のたびに経営層の承認を取り直して最上位文書を改訂しなければならず、方針としての安定性が損なわれる。基本方針は変わりにくい理念を、下位文書は変わりやすい具体策を受け持つという役割分担になっており、この選択肢は具体的な規定を基本方針に帰している点で不適切である。