情報セキュリティポリシーの三文書はどう違う？
ITパスポート試験 平成31年度春期 問85 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティポリシーを，基本方針，対策基準及び実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。
- ア
基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。
- イ
基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。
- ウ
実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。
- エ
対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。
会話形式の解説
講師三つの文書は、方針を示すもの、守るべき基準を定めるもの、具体的な進め方を示すものに分けて考えます。
受験者基本方針は、対策基準や実施手順を見てから従業員が作るのでしょうか。順序で迷います。
講師基本方針は組織の情報セキュリティに関する考え方を示し、経営層が策定または承認します。対策基準や実施手順が先にあるという説明は逆です。
受験者基本方針を、事故が起きたときに経営者が使うマニュアルと考えるのも違いますか。
講師違います。基本方針は組織全体の方針です。事故時の具体的な進め方は、実施手順に記します。
受験者では、対策基準は基本方針や実施手順に何を書くかを指定する文書ですか。
講師対策基準は、基本方針に基づいて実施すべき対策や守るべき事項を定める文書です。ほかの文書に書く項目を指定するという説明は合いません。
受験者対策基準で決めたことを、担当者がどう進めるかまで書くのが実施手順ですね。
講師その通りです。担当者が現場で実行できるよう、具体的な進め方を記すという説明が適切です。
受験者基本方針から対策基準、実施手順へと、内容が具体的になっていくと整理できます。
講師文書名で迷ったら、「方針を示す→守るべき基準を決める→具体的に実行する」の順に当てはめてください。
まとめ
基本方針は、組織の情報セキュリティに関する考え方を示します。対策基準は、その方針に基づく対策や守るべき事項を定めます。実施手順は、対策基準を担当者が実行するための具体的な進め方を記す文書です。したがって、実施手順を説明した選択肢が適切です。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティポリシーを構成する三つの文書の役割と、相互の関係を問う問題です。
解き方の考え方
基本方針、対策基準、実施手順の順に、方針を具体的な対策へ落とし込むと考えます。各選択肢が説明する内容を、どの文書の役割に当たるかで見分けます。
選択肢ごとの解説
- ×ア 基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。基本方針は、組織の情報セキュリティに関する考え方を示す文書です。経営層が策定または承認するもので、対策基準や実施手順に従って従業員が作るという順序ではありません。
- ×イ 基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。基本方針は組織全体の方針を示すもので、事故時の経営者向けマニュアルではありません。事故が起きた際の具体的な進め方は、実施手順に記します。
- ○ウ 実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。実施手順は、対策基準で定めたことを現場で実行するための文書です。担当者が何をどのように進めるかを具体的に記すという説明なので、これが正解です。
- ×エ 対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。対策基準は、基本方針に基づいて実施すべき対策や守るべき事項を定めます。基本方針や実施手順に書く項目を指定するという説明は、その役割に合いません。
補足
文書の名前だけで迷ったら、「方針を示す→守るべき基準を決める→具体的に実行する」という流れに当てはめると整理できます。
POINT
- 基本方針は、組織の情報セキュリティに関する方針を示します。
- 対策基準は、基本方針に基づく対策や遵守事項を定めます。
- 実施手順は、対策基準を担当者が実行するための具体的な方法を示します。