情報セキュリティポリシーの三文書をどう見分ける
ITパスポート試験 令和4年度 問85 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティポリシーを，基本方針，対策基準，実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。
- ア
基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
- イ
実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
- ウ
対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。
- エ
対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。
会話形式の解説
講師三つの文書は、経営層の意思を示す方針、組織が守る規則、具体的な作業方法の順に整理すると見分けやすいです。
受験者基本方針が最上位なら、対策基準や実施手順を定める土台になるという説明が適切でしょうか。
講師そのとおりです。基本方針は経営層の意思を示す文書なので、それを述べた選択肢が正解です。
受験者実施手順という名前から、方針や基準を作ったときの手順の記録とも読んでしまいました。
講師ここでの実施手順は、対策基準を実行するための具体的な作業方法です。文書を作成した作業の記録ではありません。
受験者では、対策基準をポリシーの文書作成に使う基準とする説明も、役割が違いますね。
講師はい。対策基準は基本方針に基づいて、組織が守る情報セキュリティ上の規則を定めます。
受験者対策基準を事故後の対策として、実施手順より詳しいものとする説明はどうでしょうか。
講師それも不適切です。対策基準は事故後の対策だけを扱う文書ではなく、作業方法をより詳しく定めるのは実施手順です。
受験者基本方針が意思、対策基準が守る規則、実施手順が実行方法という順で考えればよいのですね。
講師はい。「手順」が何の手順かに注目してください。決めた対策を日々の作業でどう実行するかを示すのが実施手順です。
まとめ
基本方針は、経営層の意思を示す最上位の文書です。対策基準は基本方針に基づき、組織が守る規則を定めます。実施手順は、その規則を実行する具体的な作業方法を示します。したがって、基本方針を対策基準や実施手順の土台とする説明が適切です。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティポリシーを構成する基本方針、対策基準、実施手順の役割と関係を問う問題です。
解き方の考え方
三つの文書を「経営層の意思を示す方針→組織が守る規則→具体的な作業方法」の順に整理します。各選択肢が説明している文書の役割を、この順序に照らして判断します。
選択肢ごとの解説
- ○ア 基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。アの基本方針の説明は適切です。基本方針は経営層の意思を示す最上位の文書であり、対策基準と実施手順を定める土台になります。
- ×イ 実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。イの実施手順を「策定作業の記録」とする説明は不適切です。実施手順には、対策基準を実行するための具体的な作業方法を定めます。
- ×ウ 対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。ウの対策基準を「文書の作成基準」とする説明は不適切です。対策基準は基本方針に基づき、組織が守る情報セキュリティ上の規則を定めます。
- ×エ 対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。エの対策基準を事故後の対策に限る説明は不適切です。また、作業方法をより詳しく定めるのは対策基準ではなく実施手順です。
補足
文書の名前にある「手順」を、文書を作成したときの手順と取り違えないようにしましょう。ここでの実施手順は、決めた対策を日々の作業でどう実行するかを示すものです。
POINT
- 基本方針は経営層の意思を示す最上位の文書です。
- 対策基準は基本方針に基づく、組織が守る規則です。
- 実施手順は対策基準を具体的な作業方法に落とし込みます。