セキュリティ｜平成31年度 春期 ITパスポート試験（特別措置試験） 問85

• 基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。
• 基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。
• ✓ これが正解実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。
• 対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。

解説

基本方針・対策基準・実施手順の順に、細かくなっていきます。

情報セキュリティポリシは、三つの段に分けて作られます。いちばん上が基本方針で、なぜ守るのか、何を目指すのかを経営者の言葉で示します。次が対策基準で、基本方針を受けて、守るべき決まりを分野ごとに書き下ろします。いちばん下が実施手順で、対策基準で決まったことを担当者がその場で実行できるよう、具体的な進め方を書きます。上から下へ行くほど細かくなり、下は上に従います。作る順も、作る人も、上から下へ流れます。実施手順が対策基準を受けて具体を書いたものだ、という記述はこの並びのとおりです。基本方針は外へ公開されることも多く、下の二つは社内に留められます。書かれている中身の細かさが違います。漏れれば狙われるからです。三つの名前と、どちらがどちらに従うのかを押さえれば、残りは並びの上下を見るだけで落とせます。

ほかの選択肢はなぜ違うのか

• 経営者が作った下の二つに従って、従業員が基本方針を作るという述べ方は上下が逆です。基本方針こそ経営者が示すもので、下の二つはそれを受けて作られます。順を逆にすると下が上を縛ります。作る人も並びも入れ替わっています。
• 基本方針を、事故が起きたときの経営者の動き方を書いた手引きだとする述べ方も違います。基本方針が示すのは考え方と目指す先です。一枚か二枚に収まる短さです。その場でどう動くかを書くのは、いちばん下の実施手順の役目になります。
• 対策基準を、上と下に何を書くかを定めるものだとする述べ方も外れています。対策基準は基本方針を受けて守るべき決まりを書く段であって、他の段の中身を決める段ではありません。分野ごとに章を立てて書きます。役目を一つ上へずらした形です。

この問題に関係する言葉

• 情報セキュリティポリシ基本方針・対策基準・実施手順の三つからなる、組織の決まりの文書です。規模が小さければ下の二つを一つにまとめ、二階層にしてもかまいません。
• 基本方針情報セキュリティに取り組む姿勢を、組織として最初に示す文書です。三階層の一番上に置き、下の対策基準と実施手順のよりどころになります。
• 対策基準基本方針を受けて、守るべき事柄を分野ごとに定めた文書です。三階層の真ん中に置き、規模が小さければ実施手順と一つにまとめられます。
• 実施手順対策基準で決めたことを、現場でどう行うかまで書いた文書です。三階層の一番下に置きますが、規模が小さければ対策基準とまとめられます。

出典：平成31年度 春期 ITパスポート試験（特別措置試験） 問85

この問題を演習で解く

同じ単元をまとめて解くならセキュリティへ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）