情報セキュリティポリシを、基本方針、対策基準及び実施手順の三つの文書で構成したとき、これらに関する説明のうち、適切なものはどれか。

選択肢

• ア基本方針は、経営者が作成した対策基準や実施手順に従って、従業員が策定したものである。
• イ基本方針は、情報セキュリティ事故が発生した場合に、経営者が取るべき行動を記述したマニュアルのようなものである。
• ウ実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである。
• エ対策基準は、基本方針や実施手順に何を記述すべきかを定めて、関係者に周知しておくものである。

正解と解説

正解：ウ 実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである。

情報セキュリティポリシは、経営者が示す基本方針を頂点とし、それを具体化した対策基準、さらに現場が作業できるレベルまで落とし込んだ実施手順という階層構造をとる。実施手順は対策基準で定めた事柄を担当者が実際に行えるよう、手順や進め方を具体的に書いたものである。

選択肢ごとの解説

• ア基本方針は経営者が示すもので、従業員が下位文書から作るという関係は逆。
• イ基本方針は組織としての姿勢や目的を示すもので、事故時の行動マニュアルではない。
• ウ対策基準の内容を担当者が実行できる形に具体化したものという、正しい説明。
• エ対策基準は基本方針を受けて守るべき事項を定めるもので、他文書の記述内容を規定する文書ではない。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70