情報セキュリティマネジメント試験 練習問題 73：情報セキュリティポリシーの構造
📊 Qraftユーザーの成績
- 難易度 Bランク（レーティング1200）
- 難易度 766位/2795問中
- 正答率 —（0回）
組織の情報セキュリティポリシの階層構造（基本方針、対策基準、実施手順）について述べた文として、正しいものはどれか。
- 基本方針は具体的な機器の設定方法を記述し、対策基準は経営陣の意思を表明するものである。
- 基本方針は経営者の意思として目標を定め、実施手順は具体的な作業手順や設定方法を定める。
- 対策基準は全従業員向けの手順書であり、実施手順は外部委託先との契約条件を規定するものである。
- 基本方針はシステム管理者が策定し、対策基準は監査部門が策定し、実施手順は経営陣が策定する。
- 実施手順は法令の変更に合わせて数年に一度だけ更新され、基本方針は現場の状況で日々更新される。
正解と解説を見る
正解：基本方針は経営者の意思として目標を定め、実施手順は具体的な作業手順や設定方法を定める。
組織の情報セキュリティポリシの階層構造に関する説明として、「基本方針は経営者の意思として目標を定め、実施手順は具体的な作業手順や設定方法を定める」が正解です。
【正解の理由】
情報セキュリティポリシは一般的に、最上位の「基本方針（ポリシー）」、中間層の「対策基準（スタンダード）」、最下層の「実施手順（プロシージャ）」の3階層で構成されます。基本方針は経営陣の意思決定であり、下位にいくほど具体的な手順を定めます。
【不正解の理由】
• 「基本方針は具体的な機器の設定方法を記述し、対策基準は経営陣の意思を表明するものである」という説明は、階層の役割が逆転しているため誤り
• 「対策基準は全従業員向けの手順書であり、実施手順は外部委託先との契約条件を規定するものである」という説明は、階層の定義と合致しないため誤り
• 「基本方針はシステム管理者が策定し、対策基準は監査部門が策定し、実施手順は経営陣が策定する」という説明は、策定主体がすべて不適切であるため誤り
• 「実施手順は法令の変更に合わせて数年に一度だけ更新され、基本方針は現場の状況で日々更新される」という説明は、更新頻度の考え方が逆であるため誤り