ITパスポート 2014年春期問75

問題文

情報セキュリティポリシに関する文書を、基本方針、対策基準及び実施手順の三つに分けたとき、これらに関する説明のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：経営層が立てた基本方針を基に、対策基準を策定する。（正解）

イ：現場で実施している実施手順を基に、基本方針を策定する。

ウ：現場で実施している実施手順を基に、対策基準を策定する。

エ：組織で規定している対策基準を基に、基本方針を策定する。

🔒 解説は解答すると表示されます

まず用語をやさしく説明します。

情報セキュリティポリシ（情報を守るための方針、英: security policy）: 組織が情報をどう扱うかの大きな方針です。経営方針に近い「何を重視するか」を示します。
基本方針: 経営層（会社の意思決定をする人たち）が決める組織全体の方針です。会社の方向性に相当します。
対策基準: 基本方針を実現するための「基準」やルールです。どの程度の対策を行うかを定めます（例：パスワードの最低文字数など）。
実施手順: 現場の作業マニュアルです。誰が、いつ、どうやって実行するかを具体的に示します。

この上下関係（上→下）の流れに従うと、経営層が立てた基本方針を基に対策基準を策定し、さらにそれを受けて実施手順を整備します。問題の選択肢の中では、この正しい流れを示しているのはアです。したがってアが適切です。

短く言うと、「誰が決めるか（経営層か現場か）」と「どちらを基にしているか（基に）」の向きを確認すれば解けます。

ア: 経営層が立てた基本方針を基に、対策基準を策定する。
- 正しい。組織の方針（経営判断）を基に、具体的な基準を作ります。
イ: 現場で実施している実施手順を基に、基本方針を策定する。
- 誤り。基本方針は組織の上位方針で、現場の手順から作るものではありません。順序が逆です。
ウ: 現場で実施している実施手順を基に、対策基準を策定する。
- 誤り。通常は対策基準（上位のルール）を定め、その基準に従って実施手順を作ります。手順が先ではありません。
エ: 組織で規定している対策基準を基に、基本方針を策定する。
- 誤り。基本方針は対策基準より上位であり、対策基準は基本方針を受けて作られます。こちらも順序が逆です。

「現場で実際にやっていることが出発点だ」と考えてしまう
- 実際の運用が基準や方針に影響することはありますが、公式な基本方針は経営層が組織の方針として決定します。現場の手順は基本方針に合わせて整備すべきです。
「基準と手順の違いを混同する」
- 対策基準は「何を守るか・どのレベルで守るか」のルール、実施手順は「具体的にどうやるか」の手順です。目的（基準）と手段（手順）の違いを意識してください。
「上位から下位へ必ず一方通行」と思う
- 実務では現場の声を基に基準や方針が見直されることもあります（ボトムアップの改善）が、文書上の作成順序と責任は基本的に上位（経営層）→下位（現場）です。

覚えやすい例え：会社の「経営理念（基本方針）」「就業規則や規程（対策基準）」「作業マニュアル（実施手順）」の関係です。経営理念が会社の方向を決め、それに沿って規則を作り、現場はマニュアル通りに働きます。

作成責任のヒント：

見直しの流れ：運用（実施手順） → 問題発見 → 対策基準見直し → 必要なら基本方針の修正提案（ただし方針変更は経営層の判断）。

Q. 「基本方針はどれくらいの粒度で書けばいいですか？」
A. 抽象的な価値観や優先順位を示す程度で十分です（例：「情報の機密性を最優先にする」）。詳細は対策基準や手順で補います。

Q. 「現場の習慣と方針が違うときはどうする？」
A. まず現場の問題点を洗い出し、対策基準や手順を現実に合うよう見直します。必要なら経営層に方針変更を提案します。

Q. 「誰が文書を承認するべきですか？」
A. 基本方針は経営層（代表取締役など）、対策基準は情報セキュリティ責任者や部門長、実施手順は現場の責任者が確認・承認するのが一般的です。

関連キーワード: 情報セキュリティポリシ、基本方針、対策基準、実施手順、経営層、現場運用、方針策定、内部統制、リスクマネジメント

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

すぐに利用可能！