平成31年度 春期 ITパスポート 問85

正解 ウ

実施手順は、対策基準で決めたことを担当者が実行できるように、具体的な進め方を書いた文書です。

情報セキュリティポリシは、基本方針、対策基準、実施手順の3層で構成されることが多いです。基本方針は、経営者が組織としての情報セキュリティへの考え方や取組み姿勢を示す文書です。対策基準は、基本方針を実現するために守るべき規則や基準を定めた文書です。実施手順は、対策基準を具体的な作業に落とし込み、担当者がどう進めるかを記述した文書です。上位の文書をもとに下位の文書を作るという順序で作成します。

ア：基本方針は経営者が策定する最上位の文書です。対策基準や実施手順は、基本方針をもとに作られます。

イ：基本方針は、情報セキュリティに対する組織の考え方や姿勢を示すものです。事故発生時の行動マニュアルではありません。

エ：対策基準は、基本方針を実現するために守るべき規則を定めたものです。上位の基本方針の記述内容を定めるものではありません。

出典：平成31年度 春期 ITパスポート試験 問85