情報セキュリティポリシとは？じょうほうせきゅりてぃぽりし
情報セキュリティポリシとは、組織の情報セキュリティに関する意思を、基本方針・対策基準・実施手順の三階層で体系化した規程群。階層を分ける理由は改訂の速度差にあり、経営者が承認して外部にも示す基本方針は長く保ち、技術や製品の変化に追随する下位ほど頻繁に見直すという設計判断が問われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
規程が一枚に混在していた時代は、OSやツールの入替えのたびに経営者承認の文書まで開き直す必要があり、実態と文書が乖離したまま放置されがちだった。抽象度で層を切れば、変わらない意思と変わる手順を別々の周期で回せる。応用情報では、どの層に何を書くか、誰が承認し誰まで周知するかという運用の切り分けまで踏み込んで問われる。
具体例
JIS Q 27001（ISMS）は、トップマネジメントが情報セキュリティ方針を確立し、文書化して組織内へ伝達することを要求している。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、経営者の宣言、守るべき基準、機器ごとの操作手順という形で階層をたどれる構成になっている。
試験での引っ掛け
層と記載内容の対応が入れ替えて問われる。抽象度が高く外部公開もできるのが基本方針、遵守すべき水準を定めるのが対策基準、システムごとの操作を書き公開しないのが実施手順である。基本方針を毎年書き換えるものと考えるのも誤りで、変化に追随するのは下位層。またポリシは規程であって、実装済みの技術対策そのものではない。
関連用語
出た過去問
出典：平成30年度 秋期 応用情報技術者試験 午前 問63（IPA）
企業の業務システムを，自社のコンピュータでの運用からクラウドサービスの利用に切り替えるときの留意点はどれか。
正解：企業の情報セキュリティポリシやセキュリティ関連の社内規則と，クラウドサービスで提供される管理レベルとの不一致の存在を確認する。
要点：クラウド移行では自社の規定と事業者の管理レベルの差を確認する。
クラウドサービスへ移行する際は、自社の情報セキュリティポリシや社内規則が求める管理水準と、事業者が提供する管理レベルとの間にずれがないかを事前に確認することが重要である。差異があれば、追加の対策を講じるか、対象業務の範囲を見直す必要がある。リスクを評価せずに一律で対象外とする判断も、逆に無条件に任せる判断も適切ではない。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (4) 情報セキュリティ諸規程（情報セキュリティポリシーを含む組織内規程）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。