令和1年度 秋期 ITパスポート 問84（テクノロジ）

【情報セキュリティポリシの構成】

情報セキュリティポリシは、一般に次の3つの階層の文書で構成されます。

・基本方針：組織として情報セキュリティにどう取り組むかを、経営陣の意思として示したもの。最上位の文書で、組織の内外に宣言します

・対策基準：基本方針を実現するために守るべき、具体的なルールや基準

・実施手順：対策基準を実行するための、具体的な作業の手順

最上位の基本方針には、経営陣が情報セキュリティに取り組む姿勢や考え方を記載します。具体的な手順や個々の情報資産などは、下位の文書で定めます。

【選択肢の検討】

ア：経営陣が情報セキュリティに取り組む姿勢は、最上位の基本方針に記載することとして、最も適切です。

イ：具体的で詳細な手順は、下位の実施手順に記載します。

ウ：対策にかける費用は、予算などの計画で扱うもので、基本方針に記載するものではありません。

エ：守る対象とする個々の情報資産は、情報資産の台帳などで管理するもので、基本方針に記載するものではありません。

よって、正解は選択肢アです。