問75
頻出度★★★
情報セキュリティポリシに関する文書を, 基本方針, 対策基準及び実施手順の三つに分けたとき, これらに関する説明のうち, 適切なものはどれか。
平成26年度 春期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 75
- ア
正解 情報セキュリティポリシは、上から順に「基本方針 (ポリシ)」「対策基準 (スタンダード)」「実施手順 (プロシージャ)」の三階層で構成される。最上位の基本方針は、経営層が組織としての情報セキュリティへの取組姿勢・目的・適用範囲を宣言する文書であり、以降のすべての文書の根拠となる。次の対策基準は、その基本方針を実現するために「何を守り、どのような対策を行うか」を分野ごとの規程・規則として具体化したものであり、必ず基本方針を上位の拠り所として策定される。最下位の実施手順は、対策基準で定めた事柄を現場で「どう実施するか」まで落とし込んだマニュアル類である。ア はこの上位から下位へ展開するトップダウンの向き、すなわち「経営層が立てた基本方針を基に、対策基準を策定する」という関係を正しく述べているので適切である。
不正解イ
階層の向きが逆である。実施手順は最下位の文書であり、基本方針は最上位の文書である。現場の手順を寄せ集めて経営層の基本方針を作るのでは、組織としての方針が現状追認になり、経営層が示す統一的な指針という基本方針の役割を果たせない。基本方針は経営層の意思として先に定められ、それを受けて手順が整備される。
不正解ウ
これも向きが逆である。対策基準は実施手順より上位の文書であり、基本方針を受けて策定される。実施手順は対策基準を現場作業レベルに具体化した成果物なので、手順を根拠に対策基準を作るという順序は三階層の関係と矛盾する。
不正解エ
対策基準は基本方針の下位文書であり、基本方針の根拠にはならない。基本方針は経営層が最初に定める最上位文書であって、下位の対策基準から導かれるものではない。上下関係を取り違えた記述である。
ここがポイント
- 情報セキュリティポリシの三階層: 基本方針 (Why・経営層が宣言する方針) → 対策基準 (What・分野別の規程) → 実施手順 (How・現場のマニュアル)。上位文書が下位文書の根拠となるトップダウン構造。
- 基本方針は経営層が策定・承認し、組織全体に周知する。狭義の「情報セキュリティポリシ」は基本方針と対策基準の二つを指すこともある、という区分も併せて押さえる。
用語