ITパスポート試験 - 令和4年 - 問85

情報セキュリティポリシーを，基本方針，対策基準，実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。

ア	基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
イ	実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
ウ	対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。
エ	対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。

◀ 問84　|　▲ 令和4年問題一覧　|　問86 ▶

答え：ア
分野：テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説：
「ア」… 正解。基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示すものです。

「イ」… 不適切。実施手順は，基本方針や対策基準を策定するために実施した作業の手順を記録したものではなく，基本方針や対策基準に基づいて実際に行うべき手順を示すものです。

「ウ」… 不適切。対策基準は情報セキュリティポリシーを策定するための文書の基準を示すものではなく，基本方針に基づいて組織内でどのような対策を行うのか全体的なルールを示すものです。

「エ」… 不適切。対策基準はセキュリティ対策に関する基準を示すものであり，情報セキュリティ事故が発生した後の対策は実施手順に詳述されるべき内容です。