平成26年度 春期 ITパスポート試験 問75
テクノロジ／セキュリティ情報セキュリティポリシに関する文書を，基本方針，対策基準及び実施手順の三つに分けたとき，これらに関する説明のうち，適切なものはどれか。
出典：平成26年度 春期 ITパスポート試験 問75
- ア経営層が立てた基本方針を基に，対策基準を策定する。
- イ現場で実施している実施手順を基に，基本方針を策定する。
- ウ現場で実施している実施手順を基に，対策基準を策定する。
- エ組織で規定している対策基準を基に，基本方針を策定する。
正解：ア
解説
情報セキュリティポリシは，上位から順に，経営層が示す基本方針，基本方針を具体化した対策基準，対策基準に基づく現場の実施手順という階層構造をもちます。したがって，経営層が立てた基本方針を基に対策基準を策定するのが適切です。
選択肢ごとの解説
- ア正しい。基本方針（経営層）を基に，具体的な対策基準を策定します。
- イ誤り。基本方針は経営層が上位の方針として示すもので，現場の実施手順から作るものではありません。
- ウ誤り。対策基準は基本方針を具体化するものです。実施手順は対策基準に基づいて作ります。
- エ誤り。基本方針が先にあり，対策基準はそれを基に作ります。順序が逆です。