平成31年度 春期 ITパスポート 問85（テクノロジ）

【情報セキュリティポリシの3つの文書】

情報セキュリティポリシは、組織の情報セキュリティへの取組みを定めた文書で、一般に次の3つで構成されます。

・基本方針：経営者が策定する、情報セキュリティに対する組織の基本的な考え方や取組みの姿勢

・対策基準：基本方針に基づいて、守るべき具体的なルール（何を、どのように守るか）を定めたもの

・実施手順：対策基準で決めたことを、担当者が実施できるように、具体的な手順や進め方を記述したもの

上の文書ほど抽象的で、下の文書ほど具体的になります。

【選択肢の検討】

ア：基本方針は、経営者が策定するものです。対策基準や実施手順は、基本方針に基づいて作ります。

イ：基本方針は、組織の基本的な考え方や取組みの姿勢を示すもので、事故が起きたときの行動のマニュアルではありません。

ウ：実施手順は、対策基準で決められたことを担当者が実施できるように、具体的な進め方を記述したものです。適切です。

エ：対策基準は、基本方針に基づいて、守るべき具体的なルールを定めるものです。基本方針や実施手順に何を書くかを定めるものではありません。

よって、正解は選択肢ウです。