令和4年度 ITパスポート 問85（テクノロジ）

【情報セキュリティポリシの構成】

情報セキュリティポリシは、一般に次の3つの階層の文書で構成されます。

・基本方針：組織が情報セキュリティにどう取り組むかの基本的な考え方や方針を、トップマネジメント（経営者）の意思として示したもの

・対策基準：基本方針を実現するために、守るべき具体的なルールや基準を定めたもの

・実施手順：対策基準を実行するために、具体的な作業の手順を定めたもの（マニュアルなど）

上の文書ほど抽象的で、下の文書ほど具体的になります。

【選択肢の検討】

ア：基本方針は、対策基準や実施手順の土台となる、トップマネジメントの意思を示したものなので、適切です。

イ：実施手順は、対策基準を実行するための具体的な手順で、基本方針や対策基準を作ったときの作業の記録ではありません。

ウ：対策基準は、基本方針を実現するための具体的なルールで、ポリシを策定するための文書の書き方の基準ではありません。

エ：対策基準は、事故が起きた後の対策だけを書くものではなく、また実施手順の方が具体的で詳しく書かれます。

よって、正解は選択肢アです。