平成31年度 春期 ITパスポート試験 問85
テクノロジ／セキュリティ情報セキュリティポリシを，基本方針，対策基準及び実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。
出典：平成31年度 春期 ITパスポート試験 問85
- ア基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。
- イ基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。
- ウ実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。
- エ対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。
正解：ウ
解説
情報セキュリティポリシは，上から「基本方針（組織としての方針・考え方）」，「対策基準（基本方針を実現するために守るべき基準）」，「実施手順（対策基準を担当者が実行できるようにした具体的な手順）」の3層で構成されます。したがって，対策基準で決められたことを具体的な進め方にして示すのが実施手順です。
選択肢ごとの解説
- ア誤り。基本方針は，経営者が組織の方針として示すもので，対策基準や実施手順は基本方針に従って作成されます。順序が逆です。
- イ誤り。事故発生時の行動を記述したマニュアルのようなものは，基本方針ではなく，より具体的な実施手順などに当たります。基本方針は組織の基本的な考え方です。
- ウ正しい。実施手順は，対策基準で決められたことを担当者が実施できるよう，具体的な進め方を記述したものです。
- エ誤り。対策基準は，基本方針を実現するために守るべき基準を定めたもので，基本方針や実施手順に何を書くかを定める文書ではありません。