基本情報技術者 一問一答｜A 第165問

解説

情報セキュリティポリシーは一般に①基本方針②対策基準③実施手順の3階層で構成される。基本方針は経営層が示す組織のセキュリティへの取組姿勢や目的の宣言、対策基準は基本方針を実現するために守るべき統一的なルール、実施手順は担当者が日常業務で実行する具体的な手順書である。上位ほど抽象的で安定しており、下位ほど具体的で更新頻度が高い。なお狭義のポリシーは基本方針と対策基準の2階層を指すこともある。誤答の「目標・計画・結果」「規程・マニュアル・ガイド」「戦略・戦術・実行」はいずれも正式な3階層構成の用語ではない。基本情報では階層の順序と、各層の作成主体（経営層→管理者→担当者）を問う出題が頻出である。