情報セキュリティポリシーの3層構造と規程運用の実務

方針とルールの違いでは、基本方針・対策基準・実施手順の役割を区別します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. ポリシーの3層構造の厳密な定義

2. ポリシー運用の鉄則と例外管理

• 文書を対象者へ周知し、担当する業務で何をすべきか理解できる状態にする。誓約書は周知・責任確認の手段の一つ。

• 例外が必要なら、理由・対象・期間・残るリスク・代替策を記録し、定めた権限者の承認を得る。すべての例外を必ずCISOが承認するとは限らない。

• 見直しは組織が決めた周期に加え、事故、法改正、事業やシステムの変更時にも行う。年1回だけ確認すればよいという規定ではない。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：ポリシーの3層構造と策定責任者の判定

〔背景・企業概要〕A社では情報セキュリティポリシーを制定することになった。取締役会では、どの階層の文書を誰が承認すべきか議論している。

〔設問〕組織における情報セキュリティ基本方針の承認責任者として、最も適切なものはどれか。

• ア：アルバイト従業員の代表者

• イ：経営陣（代表取締役社長・取締役会）

• ウ：清掃業務の外部委託先会社

• エ：製品を購入した一般消費者

【正解】：イ

【正解の理由】：基本方針は組織全体のセキュリティ宣言であり、経営陣（経営トップ・取締役会）が承認・発行する最上位文書です。

【誤答解説】：ア・ウ・エは全社の経営意思決定を行う権限を持ちません。

4. まとめと重要チェックリスト

• 基本方針は方向、対策基準はルール、実施手順は具体的な行動。

• 例外は担当者が勝手に決めず、権限・期限・代替策を明確にして承認する。

• 文書の更新だけでなく、周知と運用の確認まで行う。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験 シラバス Ver.4.1