IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述のうち，適切なものはどれか。

選択肢

• ア基本方針と対策基準は適用範囲を経営者とし，実施手順は適用範囲を経営者を除く従業員として策定してもよい。
• イ組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。
• ウ組織の取り扱う情報資産としてシステムソフトウェアが複数存在する場合は，その違いに応じて，複数の基本方針，対策基準及び実施手順を策定する。
• エ初めに具体的な実施手順を策定し，次に実施手順の共通原則を対策基準としてまとめて，最後に，対策基準の運用に必要となる基本方針を策定する。

正解と解説

正解：イ 組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。

情報セキュリティポリシは基本方針・対策基準・実施手順の3階層で構成するのが基本だが、組織の規模や実態に合わせて階層を統合してもよい。中小企業では対策基準と実施手順を一体化し、基本方針と併せて2階層にすることが現実的であり、ガイドラインでも認められている。策定順序は経営者が定める基本方針が先で、そこから対策基準、実施手順へと具体化していく。

選択肢ごとの解説

• ア基本方針や対策基準は組織全体に適用されるもので、階層ごとに対象者を分ける性質のものではない。
• イ正しい。規模が小さい場合は対策基準と実施手順をまとめ、2階層にしてもよい。
• ウ基本方針は組織で一つが原則であり、情報資産ごとに複数作るものではない。
• エ基本方針を最初に定め、そこから具体化していくのが正しい順序である。

同じ分野の他の問題

• 情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知…2018年度 秋期 午前 問11
• JIS Q 27001に基づく情報セキュリティ方針の取扱いとして、適切なものはどれか。2016年度 春期 午前 問6
• 組織的なインシデント対応体制の構築を支援する目的でJPCERTコーディネーションセンターが作成したものはどれか。2026年度 公開問題 科目A・B 問2
• 情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち、適切なものはどれか。2026年度 公開問題 科目A・B 問1
• A社は、従業員300名の部品メーカーである。A社ではこれまで、業務に必要なファイルを他社との間で受け渡す場合には電子メー…2025年度 公開問題 科目A・B 問14