平成31年度 春期 （特別措置試験） 問85

✓ これが正解ウ実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。

解説

基本方針・対策基準・実施手順の順に、細かくなっていきます。

情報セキュリティポリシは、三つの段に分けて作られます。いちばん上が基本方針で、なぜ守るのか、何を目指すのかを経営者の言葉で示します。次が対策基準で、基本方針を受けて、守るべき決まりを分野ごとに書き下ろします。いちばん下が実施手順で、対策基準で決まったことを担当者がその場で実行できるよう、具体的な進め方を書きます。上から下へ行くほど細かくなり、下は上に従います。作る順も、作る人も、上から下へ流れます。実施手順が対策基準を受けて具体を書いたものだ、という記述はこの並びのとおりです。基本方針は外へ公開されることも多く、下の二つは社内に留められます。細かな守り方まで書かれており、漏れれば狙われるからです。三つの名前と、どちらがどちらに従うのかを押さえれば、残りは並びの上下を見るだけで落とせます。

ほかの選択肢はなぜ違うのか

• ア基本方針は，経営者が作成した対策基準や実…：経営者が作った下の二つに従って、従業員が基本方針を作るという述べ方は上下が逆です。基本方針こそ経営者が示すもので、下の二つはそれを受けて作られます。順を逆にすると下が上を縛ります。作る人も並びも入れ替わっています。
• イ基本方針は，情報セキュリティ事故が発生し…：基本方針を、事故が起きたときの経営者の動き方を書いた手引きだとする述べ方も違います。基本方針が示すのは考え方と目指す先です。一枚か二枚に収まる短さです。その場でどう動くかを書くのは、いちばん下の実施手順の役目になります。
• エ対策基準は，基本方針や実施手順に何を記述…：対策基準を、上と下に何を書くかを定めるものだとする述べ方も外れています。対策基準は基本方針を受けて守るべき決まりを書く段であって、他の段の中身を決める段ではありません。分野ごとに章を立てて書きます。役目を一つ上へずらした形です。