情報セキュリティポリシを、基本方針、対策基準及び実施手順の三つの文書で構成したとき、これらに関する説明のうち、適切なものはどれか。
- ア基本方針は、経営者が作成した対策基準や実施手順に従って、従業員が策定したものである。
- イ基本方針は、情報セキュリティ事故が発生した場合に、経営者が取るべき行動を記述したマニュアルのようなものである。
- ウ実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである。
- エ対策基準は、基本方針や実施手順に何を記述すべきかを定めて、関係者に周知しておくものである。
正解と解説を見る
正解
ウ 実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである。
正解は「実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである」である。情報セキュリティポリシは、経営層が定める最上位の基本方針、それを実現するための対策基準、現場担当者が実際に行う作業を具体的に記した実施手順という階層構造になっている。基本方針は経営者が主体となって策定するものであり、従業員が策定して経営者に従わせるものでも、事故対応マニュアルそのものでもない。対策基準は基本方針を受けて何を守るべきかを定める文書であって、実施手順に何を書くべきかを定めるものではない。