令和4年度 問85

✓ これが正解ア基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。

解説

基本方針は経営の意思表明で、対策基準と実施手順はその下です。

情報セキュリティポリシを三つの文書で組み立てるとき、上から順に基本方針、対策基準、実施手順と並びます。いちばん上の基本方針は、何をなぜ守るのかという構えを、経営を担う側が組織の内外へ向けて示すものです。その意思があるからこそ、下の二つを定める根拠が生まれます。真ん中の対策基準は、その方針を受けて、守るべきことを分野ごとの決まりとして書き下した規程です。いちばん下の実施手順は、現場で実際にどう動くのかを、手順として細かく書いたものになります。下へ行くほど具体的になり、上の文書が下の文書の拠りどころになるという関係です。三つとも、作って終わりではなく、変化に合わせて見直していくものです。よって適切なのは、基本方針がトップマネジメントの意思を示したものだという記述です。

ほかの選択肢はなぜ違うのか

• イ実施手順は，基本方針と対策基準を定めるた…：実施手順は、これから現場でどう動くのかを定めておく文書であって、基本方針や対策基準を作るときに行った作業の記録ではありません。作業の記録は議事録などに残すもので、情報セキュリティポリシの三層のどこにも入りません。これから行うことを定める文書です。
• ウ対策基準は，ISMSに準拠した情報セキュ…：対策基準が示すのは、守るべき内容についての基準であって、文書をどう書くかという文書の基準ではありません。ISMSに沿って作るかどうかは組織が決めることで、それを対策基準そのものの説明にしてしまうのは筋が違います。
• エ対策基準は，情報セキュリティ事故が発生し…：事故が起きた後にどう動くかを、より詳しく書くのは実施手順のほうです。三層は下へ行くほど具体的になる並びなので、対策基準が実施手順より詳しいという説明は、上下の関係をそのまま取り違えています。