情報セキュリティポリシーとは？

情報セキュリティポリシーとは、組織の情報セキュリティに関する方針体系。一般に、経営層が示す基本方針、遵守すべき事項を定める対策基準、具体的な手順を示す実施手順の3階層で構成する。

情報処理安全確保支援士試験の過去問では1回出題されています。

じょうほうせきゅりてぃぽりしー

情報処理安全確保支援士試験の頻出用語／午前II／別名：情報セキュリティ方針（3階層）、情報セキュリティ方針、3階層

情報セキュリティポリシーの意味

組織の情報セキュリティに関する方針体系。一般に、経営層が示す基本方針、遵守すべき事項を定める対策基準、具体的な手順を示す実施手順の3階層で構成する。

基本方針は取締役会が年1回見直し、対策基準には「機密情報は暗号化して持ち出す」まで、実施手順には使用する暗号化ツールの操作まで書いた。手順を対策基準に混ぜると製品を替えるたび経営承認が要るため、階層を分ける判断をした。

基本方針は公開してよいが、具体的な設定値を含む実施手順は攻撃の手掛かりになるため公開しない。

ITサービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1が要求している事項はどれか。
正解：変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
要点：変更要求のセキュリティへの影響評価が求められる
JIS Q 20000-1の情報セキュリティ管理では、変更要求が情報セキュリティ方針や管理策に及ぼし得る影響を評価することが求められます。変更によってセキュリティ水準が損なわれないよう、変更管理とセキュリティ管理を結び付ける要求事項です。
出典：平成28年度春期情報処理安全確保支援士試験 am2 問24（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。