令和4年度 ITパスポート試験 問85

解説

情報セキュリティポリシは，基本方針，対策基準，実施手順の三層で構成されるのが一般的です。基本方針は，組織の情報セキュリティに対する考え方や取組みを示した，トップマネジメントの意思表明です。対策基準は基本方針を実現するために守るべきルールや基準，実施手順は対策基準に従って具体的に何をどうするかを示した手順書です。

選択肢ごとの解説

• ア正しい。基本方針は，対策基準や実施手順の拠り所となる，トップマネジメントの意思を示すものです。
• イ誤り。実施手順は，対策基準に基づいて具体的な作業を行うための手順書であり，基本方針と対策基準を定めるための作業の記録ではありません。
• ウ誤り。対策基準は，基本方針を実現するために遵守すべき基準を定めたものであり，ポリシを策定するための文書の基準ではありません。
• エ誤り。対策基準は事故発生後の対策に限らず，事前の対策も含めた遵守事項を示すものであり，実施手順より詳しく書くものでもありません（具体的な手順を示すのは実施手順です）。