解説

情報セキュリティポリシは一般に、最上位の基本方針、その下の対策基準、最下位の実施手順という階層で構成されます。内外に宣言する最上位の基本方針には、経営陣が情報セキュリティに取り組む姿勢や考え方を記載します。よって正解はaです。bの詳細手順は最下位、cの費用やdの個々の情報資産は具体的・個別的な内容で、組織の姿勢を示す最上位の基本方針に記載する内容としては経営陣の取組姿勢が適切です。

なぜ他の選択肢は違うのか

選択肢 イ

具体的で詳細な手順は最下位の実施手順（対策実施手順書）に記載する内容で、最上位の基本方針に書くものではありません。

選択肢 ウ

対策に掛ける費用は予算や個別計画の話で、組織の姿勢を内外に宣言する最上位の基本方針に記載する内容ではありません。

選択肢 エ

守る対象となる個々の情報資産は具体的・個別的な情報で、抽象的に姿勢を示す最上位の基本方針には適しません。

解くときのポイント

ポリシの階層＝基本方針（姿勢）→対策基準→実施手順（具体策）。最上位の方針には経営陣の取組姿勢を書く、と押さえましょう。