情報セキュリティポリシに関する文書を，基本方針，対策基準及び実施手順の三 つに分けたとき，これらに関する説明のうち，適切なものはどれか。
- ア経営層が立てた基本方針を基に，対策基準を策定する。
- イ現場で実施している実施手順を基に，基本方針を策定する。
- ウ現場で実施している実施手順を基に，対策基準を策定する。
- エ組織で規定している対策基準を基に，基本方針を策定する。
正解と解説を見る
正解
ア 経営層が立てた基本方針を基に，対策基準を策定する。
情報セキュリティポリシは、経営層が組織全体としての方向性を示す基本方針を策定し、それを具体化した対策基準を定め、さらに現場での具体的な作業手順である実施手順へと落とし込んでいく、トップダウンの階層構造になっているため、正解は「経営層が立てた基本方針を基に、対策基準を策定する。」である。現場の実施手順から基本方針や対策基準を策定するという記述は策定の方向性が逆であり、組織の対策基準を基に基本方針を策定するという記述も、上位の方針が下位の基準を規定するという本来の関係と逆になっているため、いずれも誤りである。基本方針→対策基準→実施手順という順序と、それぞれを誰が定めるかを併せて覚えておくことが重要である。