情報セキュリティポリシを，基本方針，対策基準，実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。

選択肢

• ア基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
• イ実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
• ウ対策基準は，ISMSに準拠した情報セキュリティポリシを策定するための文書の基準を示したものである。
• エ対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。

正解と解説

正解：ア 基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。

情報セキュリティポリシは3階層で構成され、最上位の基本方針が経営陣の意思として目的や姿勢を宣言します。その下の対策基準が守るべきルールを定め、さらに下の実施手順が具体的な作業のやり方を示すという関係になります。

選択肢ごとの解説

• ア正しい。基本方針は経営層の意思表明で下位文書の拠り所になる。
• イ実施手順は作業の記録ではなく、実施すべき具体的手順を示す文書。
• ウ対策基準は文書作成の基準ではなく、守るべきルールを定めたもの。
• エ対策基準は実施手順より上位で、より詳しいのは実施手順のほう。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70