解説

情報セキュリティポリシは、基本方針・対策基準・実施手順の階層で構成されます。基本方針は経営者が示す最上位の方針、対策基準は守るべき具体的な基準、実施手順は対策基準を担当者が実施できるよう具体的な進め方を記したものです。cの「実施手順は対策基準で決められたことを担当者が実施できるよう具体的な進め方を記述したもの」は正しく、正解はcです。a・b・dは階層の上下関係や役割を取り違えており誤りです。

なぜ他の選択肢は違うのか

選択肢 ア

基本方針は最上位で経営者が定めるものです。従業員が対策基準や実施手順に従って策定するという記述は階層の上下を逆にしており誤りです。

選択肢 イ

基本方針は組織の情報セキュリティに対する経営者の考え方や方針を示すもので、事故時の行動マニュアルではありません。この記述は誤りです。

選択肢 エ

対策基準は守るべき具体的な基準を定めるものです。基本方針や実施手順に何を書くかを定めて周知するものという記述は役割の取り違えで誤りです。

解くときのポイント

三層は「基本方針（なぜ・方針）→対策基準（何を）→実施手順（どうやって）」と上から具体化していくと覚えます。階層の役割の取り違えに注意します。