ITパスポート 2022年 問85

情報セキュリティポリシを、基本方針、対策基準、実施手順の三つの文書で構成したときの説明【ITパスポート 解説】

正解の理由

• トップマネジメント：組織の最上位の経営層。方針決定や資源配分の権限を持つ人たちです。
• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）：情報を守るための仕組みやルール、運用体制の総称。

解法ステップ

1. 文書の階層をイメージする
   • 上位：基本方針（何を重視するか、誰が責任を持つか）
   • 中位：対策基準（守るべきルールや基準）
   • 下位：実施手順（具体的な操作や手順）
2. 各選択肢と階層を照らし合わせる
   • 「トップの意思を示す」は基本方針に一致するか確認する。
   • 「作業の手順を記録」「文書の基準」「事故後の対策の詳述」は、どの階層に当てはまるか考える。
3. 最も階層構造に合う説明を選ぶ
   • トップの意思＝基本方針 → ア を選ぶ。

選択肢別の誤答解説

• ア（正解）
  基本方針はトップマネジメントの意思表明です。組織が情報セキュリティをどう扱うかを示し、対策基準や実施手順はこの方針に従って作られます。
• イ（誤り）
  実施手順は「業務や対策を実際に行う手順（誰が、いつ、どう行うか）」を示す文書です。問題の「基本方針と対策基準を定めるために実施した作業の手順を記録したもの」という表現は逆です。方針や基準を作るための作業記録は別の文書（議事録やプロジェクト記録）であり、実施手順の定義とは異なります。
• ウ（誤り）
  「対策基準は、ISMSに準拠した情報セキュリティポリシを策定するための文書の基準を示したもの」という説明は不正確です。対策基準は基本方針を実現するための具体的なルールや基準（例えば、パスワードの長さ、アクセス権の付与基準など）を示します。ISMS準拠という文脈はあり得ますが、「ポリシーを策定するための文書の基準」という表現は本来の意味とずれます。
• エ（誤り）
  「対策基準は事故後の対策を実施手順よりも詳しく記述したもの」というのも誤りです。事故後の対応（インシデント対応）は通常、実施手順に具体的に書かれます。対策基準は予防や管理のためのルールであり、事後対応は手順で詳細に規定するのが一般的です。

よくある誤解

1. 「実施手順＝すべての記録」だと思う
   実施手順は「これからどう実行するか」を定める手順書です。実際に行った作業の記録（ログや議事録）は別物です。
2. 「対策基準は事故対応のマニュアルだ」と混同する
   対策基準は予防や許可基準などのルールです。事故対応の詳しい手順は実施手順（インシデント対応手順）に書きます。
3. 「基本方針は形式的で重要でない」と考える
   基本方針は組織の姿勢と責任を示す重要文書です。これが明確でないと、下位文書の整合性が取れません。

補足コラム

• 基本方針：情報は機密性・完全性・可用性（英語でConfidentiality, Integrity, Availability）を守る。トップが責任を持つ。
• 対策基準：パスワードは最低8文字、外部記憶は暗号化必須、などの基準。
• 実施手順：パスワード変更の手順、障害発生時の連絡手順、バックアップ手順などの具体的操作。

FAQ