ITパスポート試験 令和4年度 公開問題 問85

【正解】ア

基本方針は、組織が情報セキュリティにどのように取り組むかという基本的な考え方や方向性を、経営層であるトップマネジメントの意思として示す文書です。この基本方針を最上位に置き、それを実現するために守るべき事項を対策基準で定め、現場で実行する具体的な方法を実施手順で定めます。したがって、基本方針が対策基準や実施手順の基礎となることを述べたアが適切です。

イの実施手順に関する説明は誤りです。実施手順は、基本方針や対策基準を策定した作業の記録ではありません。アクセス権の登録方法、バックアップの方法、事故発生時の連絡方法など、従業員が実務で行う具体的な手順を示す文書です。

ウの対策基準に関する説明は誤りです。対策基準は、ポリシを策定するための文書形式の基準ではありません。基本方針を実現するために、組織として実施すべき情報セキュリティ対策や守るべき規則を定めます。

エの説明は誤りです。対策基準は事故発生後の対応だけを扱うものではなく、予防を含む対策全般の基準を示します。また、個々の作業を最も具体的かつ詳細に記述するのは実施手順です。

【ポイント】 基本方針は経営層の意思、対策基準は組織が守る規則、実施手順は現場の具体的な作業方法です。 文書は「基本方針→対策基準→実施手順」の順に具体的になります。 誰が何を実施するかまで落とし込むのが実施手順であると覚えます。