解説

情報セキュリティ方針（セキュリティポリシー）は、組織全体の情報セキュリティに関する基本的な考え方や方向性を示す最上位の文書です。これは経営層によって承認され、組織全体に適用される包括的な方針であり、具体的な実施手順や個別の取り決めよりも上位に位置づけられます。ISMSでは、この方針に基づいて具体的な対策や手順が展開されていきます。

なぜ他の選択肢は違うのか

選択肢 ア

セキュリティ製品の設定値は具体的な実施手順レベルの内容であり、方針よりもずっと下位の技術的な詳細に該当します。情報セキュリティ方針はもっと上位の概念です。

選択肢 イ

個人情報の取扱い手順は、情報セキュリティ方針に基づいて作成される実施手順の一つです。特定の部門向けの具体的な手順を定めたものは方針とは異なります。

選択肢 ウ

取引先との合意文書は、二社間の具体的な取り決めを示すものであり、自社の情報セキュリティに関する基本方針とは異なります。これは方針に基づいて作成される文書の一つです。

解くときのポイント

情報セキュリティ方針は「組織の憲法」のようなものと考えてください。具体的な手順や規則は、この憲法に基づいて作られる「法律」や「規則」に相当します。方針は常に最上位に位置することを覚えておきましょう。