解説

情報セキュリティポリシは、組織の情報セキュリティに関する方針や規定を体系的にまとめた文書群です。一般的に3層構造で構成され、上から「基本方針」「対策基準」「実施手順」という階層になっています。基本方針は、経営層（トップマネジメント）が組織全体の情報セキュリティに対する取り組み姿勢や方向性を宣言するもので、対策基準や実施手順を定める際の指針となります。これは組織の情報セキュリティ対策の根幹となる重要な文書です。

なぜ他の選択肢は違うのか

選択肢 イ

実施手順は、対策基準に基づいて具体的な作業手順を示すものであり、作業の記録ではありません。日々の業務でどのように情報セキュリティ対策を実施するかを具体的に定めた手順書です。

選択肢 ウ

対策基準は、ISMSへの準拠を判断するための基準ではなく、基本方針に基づいて、組織として実施すべき情報セキュリティ対策の基準を具体的に定めたものです。

選択肢 エ

対策基準は、セキュリティ事故発生後の対応に特化したものではなく、また実施手順よりも詳細度は低くなります。対策基準は組織全体で守るべき基準を示し、実施手順がより具体的な手順を示します。

解くときのポイント

情報セキュリティポリシの3層構造は、「抽象的な方針」から「具体的な手順」へと階層的に詳細化されていく構造になっています。基本方針→対策基準→実施手順の順で具体性が増していくことを覚えておくと良いでしょう。