情報セキュリティポリシを，基本方針，対策基準，実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。

テクノロジ系

ア基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。

イ実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。

なぜ違う: 実施手順は対策基準を実現するための具体的な手順であり，文書策定作業の記録ではない。

ウ対策基準は，ISMSに準拠した情報セキュリティポリシを策定するための文書の基準を示したものである。

なぜ違う: 対策基準は基本方針を実現するために守るべきルールであり，ポリシ策定のための文書基準ではない。

エ対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。

なぜ違う: 対策基準は事後対策に限定されず実施手順より上位の概括的な文書であり，より詳しく記述するものではない。

正解: ア

要点: 基本方針はトップマネジメントの意思表明。

情報セキュリティポリシの最上位文書である基本方針は，対策基準や実施手順を定める前提として，経営層（トップマネジメント）の方針や意思を示すものである。

関連キーワード: 情報セキュリティポリシ・基本方針

アプリで弱点分析つきの演習ができます

App Store

出典：令和4年度 ITパスポート試験公開問題問85