ITパスポート 平成31年度 春期 特別措置試験 問85

✓ これが正解ウ 実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。

解説

基本方針・対策基準・実施手順の順に、細かくなっていきます。

情報セキュリティポリシは、三つの階層に分けて作られます。いちばん上が基本方針で、なぜ守るのか、何を目指すのかを経営者の言葉で示します。次が対策基準で、基本方針を受けて、守るべき決まりを分野ごとに書き下ろします。いちばん下が実施手順で、対策基準で決まったことを担当者がその場で実行できるよう、具体的な進め方を書きます。上から下へ行くほど細かくなり、下は上に従います。作る順も作る人も、上から下へ流れます。実施手順が対策基準を受けて具体を書いたものだ、という記述はこの並びのとおりです。基本方針は外へ公開されることも多い一方、下の二つは細かな守り方まで書かれており、漏れれば狙われるので社内に留められます。

三つの名前と、どちらがどちらに従うのかを押さえれば、残りは並びの上下を見るだけで外せます。

ほかの選択肢の解説

• ア 基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。：経営者が作った下の二つに従って、従業員が基本方針を作るという述べ方は、作る人も並びも入れ替わっています。基本方針こそ経営者が示すもので、下の二つはそれを受けて作られます。順を逆にすると下が上を縛ります。
• イ 基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。：基本方針を、事故が起きたときの経営者の動き方を書いた手引きだとする述べ方も違います。基本方針が示すのは考え方と目指す先で、一枚か二枚に収まる短さです。その場でどう動くかを書くのは、いちばん下の実施手順の役目です。
• エ 対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。：対策基準を、上と下に何を書くかを定めるものだとする述べ方も外れており、役目を一つ上へずらした形です。対策基準は基本方針を受けて、分野ごとに章を立てて守るべき決まりを書く階層であって、他の階層の中身を決めるものではありません。