情報セキュリティポリシに関する文書を、基本方針、対策基準及び実施手順の三つに分けたとき、これらに関する説明のうち、適切なものはどれか。

選択肢

• ア経営層が立てた基本方針を基に、対策基準を策定する。
• イ現場で実施している実施手順を基に、基本方針を策定する。
• ウ現場で実施している実施手順を基に、対策基準を策定する。
• エ組織で規定している対策基準を基に、基本方針を策定する。

正解と解説

正解：ア 経営層が立てた基本方針を基に、対策基準を策定する。

情報セキュリティポリシは、経営層が示す基本方針を最上位に置き、それを実現するために守るべきルールを定めた対策基準、さらに現場での具体的な作業を書いた実施手順という三層で構成される。上位から下位へ展開する形で作るため、基本方針を基に対策基準を、対策基準を基に実施手順を定める。現場の手順から上位方針を作るという順序は逆である。

選択肢ごとの解説

• ア正解。上位の基本方針を受けて対策基準を定める。
• イ基本方針は経営層が示すもので、手順から導くものではない。
• ウ対策基準は基本方針から導くもの。
• エ基本方針が最上位であり、対策基準から作るのは順序が逆。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70