平成26年度 秋期 （特別措置試験） 問61

✓ これが正解エ組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。

解説

上ほど一つにまとめ、下ほど現場に寄せる、が並びの向きです。

守りの決めごとは三階建てになっています。最上段は、組織として何を守るのかという構えを述べるもので、経営者が定め、全体で一つに保ちます。中段は守るための規則、下段は具体のやり方で、どちらも部門や仕事の中身に応じて分かれてかまいません。情報セキュリティポリシの問では、聞かれているのがどの段かを先に決めると迷いません。三階建てにする狙いは、変わりにくいものと変わりやすいものを分けて置くことにあります。世の中の危うさが動いても、下の二段を差し替えれば済み、いちばん上は据え置けます。逆に上を頻繁に書き換えると、会社が何を大事にしているのかが伝わりません。だから、どの段の文書を読んでいるのかを意識して読み分けます。実務では、いちばん上は数枚で収まり、下の段になるほど厚くなっていきます。

ほかの選択肢はなぜ違うのか

• ア情報セキュリティ基本方針だけでなく，情報…：経営者が定めるのは最上段までです。下の二段まで一人で書くのは、実際にも成り立ちません。経営者が自ら手を下す範囲を問われたなら、いちばん上の一枚までがその範囲です。以下の文書は、実務を知る部門が持ち回りで書きます。
• イ情報セキュリティ基本方針だけでなく，情報…：外へ示すことがあるのは最上段だけです。守り方そのものを外へ出せば、攻める側に手の内を教えます。外へ示してよい文書はどれかと問われたなら、いちばん上の一枚が答えになります。取引先や利用者へ構えを伝えるために出すこともあります。
• ウ情報セキュリティに関する規則や手順は組織…：よそから借りた文をそのまま置いてよいのは、上ほど当てはまりません。上段はその組織の考えを表す場だからです。ひな型は手がかりにはなりますが、どの段も組織の状況に合わせて書きます。