問85
頻出度★★★
情報セキュリティポリシを, 基本方針, 対策基準, 実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。
令和4年度 ITパスポート試験 問85
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 85
- ア
正解 情報セキュリティポリシは「基本方針」「対策基準」「実施手順」の三層で構成され、上位文書が下位文書の拠りどころとなる。最上位の基本方針は、なぜ・何のために情報セキュリティに取り組むのかというトップマネジメント（経営層）の意思・方針を宣言する文書であり、これを受けて対策基準（守るべきルール）や実施手順（具体的なやり方）が定められる。アはこの基本方針の役割を正しく述べているため適切である。
不正解イ
実施手順は、対策基準で定めたルールを現場で「どう実行するか」を具体的に記した最下位の手順書であり、基本方針や対策基準を作るために行った作業の記録ではない。上位文書を作るための作業記録という説明は文書の位置づけを取り違えている。
不正解ウ
対策基準は、基本方針を実現するために守るべき具体的なルールや遵守事項を定めた文書であり、「ポリシを策定するための文書の書式・基準」を示すものではない。文書作成のための基準という説明は対策基準の内容と異なる。
不正解エ
三層構造では下位ほど記述が具体的・詳細になる。対策基準よりも実施手順のほうが詳しい。よって「対策基準が実施手順より詳しく記述したもの」とするのは詳細さの順序が逆であり誤り。
ここがポイント
- 情報セキュリティポリシは「基本方針（トップマネジメントの意思表明）→ 対策基準（守るべきルール）→ 実施手順（具体的な手順）」の三層構造で、上位ほど抽象的・下位ほど具体的。
- 基本方針は経営層が定める最上位文書で、対策基準・実施手順を定める根拠となる。
用語