情報セキュリティポリシを,基本方針,対策基準,実施手順の三つの文書で構成したとき,これらに関する説明のうち,適切なものはどれか。
- ア基本方針は,対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
- イ実施手順は,基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
- ウ対策基準は,ISMSに準拠した情報セキュリティポリシを策定するための文書の基準を示したものである。
- エ対策基準は,情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。
正解と解説を見る
正解
ア 基本方針は,対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
情報セキュリティポリシの三階層のうち，基本方針は組織のトップマネジメントが情報セキュリティに取り組む姿勢や目的を宣言した最上位の文書であり，これに基づいて対策基準（具体的なルール）や実施手順（作業手順）が定められる。実施手順は策定作業の記録ではなく日々の業務手順を示すものであり，対策基準も策定基準や事故後対応の手順書ではないため，他の選択肢は誤り。