情報セキュリティマネジメント 平成30年度 秋期 午前 問9

✓ これが正解イ 組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。

解説

小規模なら対策基準と実施手順を併せて2階層にしてもよいです。

設問が引く中小企業の情報セキュリティ対策ガイドライン（第2.1版）は、情報セキュリティポリシを、組織の考え方を示す基本方針、守るべきことを定める対策基準、具体的な作業のやり方を示す実施手順の3階層で整理しています。ただし、この階層は組織の実情に合わせて調整でき、規模が小さい組織では、対策基準と実施手順を併せて一つにまとめ、基本方針を含めた2階層の文書構造として策定する形も認められています。ポリシは組織全体に適用するもので、上位の考え方から下位の手順へと順に定めていくのが基本です。

この2点を押さえると、残りの記述の不自然さが見えてきます。

ほかの選択肢の解説

• ア 基本方針と対策基準は適用範囲を経営者とし，実施手順は適用範囲を経営者を除く従業員として策定してもよい。：情報セキュリティポリシは組織の全員に適用するものです。基本方針と対策基準は経営者だけ、実施手順は従業員だけというように、階層ごとに適用範囲を分ける作り方はしません。
• ウ 組織の取り扱う情報資産としてシステムソフトウェアが複数存在する場合は，その違いに応じて，複数の基本方針，対策基準及び実施手順を策定する。：基本方針は組織としての姿勢を示す最上位の文書で、情報資産の種類ごとに複数作るものではありません。システムソフトウェアが複数あっても、方針を乱立させる理由にはなりません。
• エ 初めに具体的な実施手順を策定し，次に実施手順の共通原則を対策基準としてまとめて，最後に，対策基準の運用に必要となる基本方針を策定する。：定める順序が逆です。まず組織の考え方である基本方針を掲げ、それを受けて対策基準を定め、最後に具体的な実施手順へ落とし込むという、上位から下位への流れで策定します。