情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問09

ポリシーの文書階層【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 用語を明確にする
   • 基本方針：組織としてのセキュリティ方針（高位の方針）
   • 対策基準：方針を実現するためのルールや基準（中間レベル）
   • 実施手順：日常業務での具体的操作手順（現場向け）
2. ガイドラインの趣旨を把握する
   • 規模に応じて過度な文書化を避け、運用しやすくすることを重視しているか確認する
3. 各選択肢を当てはめる
   • 小規模組織なら「基礎方針＋（基準＋手順を併せる）」という2層構成が合理的かを検討する
4. 最もガイドライン趣旨に合致する選択肢を選ぶ
   • 管理の簡素化と役割の明確化を両立できる構成が正解

選択肢別の誤答解説

• ア: 基本方針と対策基準を経営者のみ、実施手順を経営者以外に適用範囲を分ける、という考えは誤りです。基本方針や対策基準は組織全体の統治（ガバナンス）を示すもので、適用範囲を経営者だけに限定する意味はありません。方針は組織全体に適用され、責任や推進主体を明示して運用します。
• イ: 正しい。組織が小さく、文書管理や運用負荷を抑えたい場合は、対策基準と実施手順を同一階層とする簡素な二層構造が許容されます。重要なのは方針の位置づけ（上位に置く）を保つことです。
• ウ: 情報資産（ここではシステムソフトウェアなど）が複数あるからといって、基本方針そのものを複数作るのは不適切です。基本方針は組織全体の統一的な方針であり、資産ごとに別々の方針を作ると整合性やガバナンスが損なわれます。資産ごとに異なる扱いが必要なら、対策基準や実施手順で差を設けます。
• エ: 文書作成の順序として、まず具体的実施手順を作ってから基準→基本方針の順で遡って作るのは非効率で推奨されません。設計は上位方針（何を守るか）→基準（どう守るか）→手順（具体的に誰がどうするか）の流れで整合性を持たせるのが基本です。

よくある誤解

• 「文書は多いほど安全」ではない：文書量が増えると現場が守れなくなり、結果として運用が崩れることがあります。重要なのは実行できる仕組みを作ることです。
• 「基本方針は細かく書くべき」ではない：基本方針は高位の宣言であり、詳細は対策基準や手順で規定します。基本方針は短く明確に、組織の意志を示すのが目的です。

補足コラム

• 1冊の「情報セキュリティマニュアル」を作成し、最初に「基本方針」を置く（経営のコミットメント、適用範囲、責任者）。
• 次に「対策基準」と「実施手順」を章ごとにまとめる。対策基準で原則やルールを示し、各ルールの下に具体的な手順（ログの保存方法、アカウント発行手順、パスワード管理）を書くと現場が使いやすくなります。
  運用上は、文書の版管理、周知（朝礼や社内メール）、教育（年1回程度）と点検（自己点検チェックリスト）をセットにすると効果的です。

FAQ