平成31年度春期 ITパスポート試験問85

この問題の解説と、これまでの解答の記録です。

問85

頻出度★★★

情報セキュリティポリシを, 基本方針, 対策基準及び実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。

出典　平成31年度春期 ITパスポート試験問85

解説

問 85

不正解ア
階層の上下関係が逆。基本方針は最上位文書であり、経営者（トップ）が組織の姿勢として策定するもの。対策基準や実施手順は基本方針を受けて作られる下位文書なので、「経営者が作った対策基準・実施手順に従って従業員が基本方針を策定する」という記述は誤り。
不正解イ
基本方針は、組織として情報セキュリティにどう取り組むかという方針・目的・宣言を示す最上位文書であり、事故発生時に経営者が取るべき行動を記した対応マニュアルではない。役割の取り違えで誤り。
ウ
正解情報セキュリティポリシは「基本方針→対策基準→実施手順」の3階層で構成される。最下位の実施手順は、その上位である対策基準で決められた事項を、担当者が現場で実際に実行できるよう、具体的な作業の進め方・手順を細かく記述した文書である。選択肢「ウ」はこの実施手順の役割を正しく述べているため適切。
不正解エ
対策基準は基本方針を実現するために遵守すべき具体的な規則・基準を定めた中位文書であり、上位の基本方針や下位の実施手順に「何を書くべきか」を規定する立場にはない。階層の役割を取り違えているため誤り。

ここがポイント

情報セキュリティポリシの3階層構造: 基本方針（最上位・経営者の方針宣言）→ 対策基準（中位・遵守すべき規則/基準）→ 実施手順（下位・具体的な実行手順）。上位ほど抽象的・不変、下位ほど具体的。
各文書の役割: 基本方針=なぜ/何を目指すか、対策基準=何を守るか、実施手順=どう実行するか。上位文書を受けて下位文書が作られる（トップダウン）。

用語

解答問85ウ