ITパスポート 2019年 春期 問85

情報セキュリティポリシを、基本方針、対策基準及び実施手順の三つの文書で構成したとき、これらに関する説明のうち、適切なものはどれか。 【ITパスポート 解説】

正解の理由

• 基本方針：経営層が示す「何を守るか」「どのような考えで情報を扱うか」という高レベルの方針です。組織の方針や責任範囲を明確にします。
• 対策基準：基本方針を実現するために「どのような基準・ルールで行うか」を定めたものです。許容されるレベルやルールを示します。
• 実施手順：対策基準で決められたことを、担当者が具体的に実行できるように「手順・作業方法」を書いたものです。

解法ステップ

1. 問題文で「基本方針、対策基準、実施手順」の三つを問うていることを確認します。
2. それぞれの役割（方針 → 基準 → 手順）の順序と目的を頭に入れます。
   • 方針＝方針（何を目指すか）
   • 基準＝ルール（どのレベル・どんなルールで守るか）
   • 手順＝具体的作業（誰がどうやるか）
3. 各選択肢が上の定義に合致するかを当てはめて、合致するものを選びます。
4. 合致しない選択肢は、文中の語句（経営者、従業員、マニュアル、周知など）で矛盾がないか見て捨てます。

選択肢別の誤答解説

• ア: 基本方針は、経営者が作成した対策基準や実施手順に従って、従業員が策定したものである。
  → 誤りです。基本方針は従業員が作るものではなく、経営者（組織の意思決定層）が示すべき上位方針です。順序が逆になっています。
• イ: 基本方針は、情報セキュリティ事故が発生した場合に、経営者が取るべき行動を記述したマニュアルのようなものである。
  → 誤りです。事故対応の具体的な行動は「インシデント対応手順（実施手順）」や「事故対応マニュアル」に書くのが通常で、基本方針はあくまで方針・考え方を示す文書です。
• ウ: 実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものである。
  → 正しい説明です。対策基準（何を守るか・ルール）を実際に運用するための具体的手順が実施手順です。担当者が迷わず作業できるレベルの詳細さが求められます。
• エ: 対策基準は、基本方針や実施手順に何を記述すべきかを定めて、関係者に周知しておくものである。
  → 誤りです。対策基準は「何をすべきか（ルールや許容レベル）」を定める文書であり、基本方針や実施手順に何を記述するかというメタ規定（文書構成の指示）ではありません。この説明は「文書管理ルール」や「文書の作成手順」に近い内容です。

よくある誤解

1. 基本方針＝具体的マニュアルと思い込む
   • 基本方針は抽象度が高い方針（方針＝policy）です。具体的な手順や操作は実施手順に書きます。
2. 対策基準は「誰が書くか」で混乱する
   • 対策基準は経営方針に基づき、情報システム担当部門やセキュリティ責任者が策定します。経営者の指示の下で作るものと覚えてください。
3. インシデント対応は基本方針に全部書くと思う
   • 事故発生時の具体行動は別途「インシデント対応計画／手順」にまとめます。基本方針は対応の方針や責任の所在を示すに留めます。

補足コラム

• 文書の階層イメージ（上から下へ）
  1. 基本方針（経営層の宣言）：組織としての情報セキュリティの目的や責任、方針を明示。例：「情報は重要資産であり、適切に保護する」
  2. 対策基準（ルール）：パスワードの強度、アクセス制御の基準、ログ保存期間など、守るべき基準を数値や条件で示す。例：「パスワードは8文字以上かつ英数記号を含む」
  3. 実施手順（作業マニュアル）：対策基準を現場で実行するための手順書。担当者が手順通りに操作できるよう、画面操作や手順順序、連絡先を含める。例：「パスワードリセット手順：1. ユーザ本人確認 2. 管理画面へログイン 3. …」
• 規格との関係：ISO/IEC 27001（国際的な情報セキュリティ管理の標準）でも、方針→リスク評価→管理策→手順という考え方が出てきます。ISOは「International Organization for Standardization（国際標準化機構）」の略で、27001は情報セキュリティ管理に関する規格番号です。

FAQ