情報セキュリティポリシーとは？じょうほうせきゅりてぃぽりしー
情報セキュリティポリシーとは、組織が情報資産を何からどう守るかを定めた文書の体系。経営層が意思を示す基本方針を頂点に、守るべきルールを定めた対策基準、現場の作業レベルまで落とした実施手順の3階層で構成するのが一般的で、上の階層ほど抽象的で変更しにくい。作って終わりではなく、周知と教育、定期的な見直しがあって初めて機能する。
最終更新：2026-10-10
この語が出る過去問を解く →背景
ルールが文書になっていない組織では、持ち出しの可否や外部への開示の判断が担当者ごとにばらつく。事故が起きたときに「誰の判断だったのか」「何が違反なのか」を示せず、再発防止にもつながらない。そこで、経営層が守る対象と責任を宣言し、その下に具体的なルールを積む形が定着した。ITパスポートでは、3階層のどれに何を書くかという役割の切り分けが問われる。
具体例
トヨタ自動車やNTTデータが自社サイトで公開している「情報セキュリティ基本方針」は第1階層にあたる。その下に「私物のUSBメモリを業務で使わない」「パスワードは12文字以上」といった対策基準が社内規程として置かれ、さらに「持ち出し申請書の記入方法」といった実施手順が続く。
試験での引っ掛け
基本方針は経営層が出す最上位の宣言であって、現場の作業手順ではない。順序と役割を入れ替えた選択肢が定番なので、階層が上がるほど抽象的になると覚える。もう一つ、基本方針は社外に公開されることが多いが、対策基準や実施手順は攻撃の手がかりになるため社内限りにする点も押さえる。
関連用語
出た過去問
出典：平成21年度 秋期 ITパスポート試験 問56（IPA）
情報セキュリティポリシに関する記述のうち、適切なものはどれか。
正解：目標とするセキュリティレベルを達成するために、遵守すべき行為及び判断についての考え方を明確にすることが必要である。
要点：セキュリティポリシは組織全体の方針と判断基準を明示する
情報セキュリティポリシは、組織として守るべき情報セキュリティの方針と行動基準を定めた文書である。目指す水準を示し、そこへ至るために何を守り、判断に迷ったときにどう考えるかを明確にすることが目的となる。個別システムごとではなく組織全体を対象とし、脆弱性の内容は公表せずに管理すべき情報である。
出典：平成21年度 春期 ITパスポート試験 問54（IPA）
企業の情報セキュリティポリシの策定及び運用に関する記述のうち、適切なものはどれか。
正解：経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について、社員への説明を率先して推進しなければならない。
要点：セキュリティポリシは経営トップが率先して周知・推進する
情報セキュリティポリシは全社的な取組みであり、実効性をもたせるには経営トップが自ら方針を示し、社員への周知と徹底を率先して進めることが不可欠である。策定はまず基本方針を定めてから対策基準、実施手順へと具体化していく順で行い、個別製品の選定や設定値の定義は手順レベルで扱う事項である。
出典：平成22年度 秋期 ITパスポート試験 問76（IPA）
情報セキュリティポリシに関する考え方のうち、適切なものはどれか。
正解：情報セキュリティポリシの適用対象としては、社員だけでなく、パートなども含めた全従業者とすべきである。
要点：セキュリティポリシは全従業者を対象とする
情報セキュリティポリシは、その組織で情報を扱うすべての人に守らせる必要がある。正社員だけを対象にすると、パートや派遣、委託先など他の立場の人が抜け穴になってしまうため、全従業者を適用対象とするのが適切である。
出典：平成26年度 秋期 ITパスポート試験 問61（IPA）
組織で策定する情報セキュリティポリシに関する記述のうち、最も適切なものはどれか。
正解：組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも、情報セキュリティ基本方針は組織全体で統一させるべきである。
要点：基本方針は全社統一、具体的手順は部門ごとに具体化
情報セキュリティポリシは、組織としての基本的な考え方を示す基本方針と、それを具体化した対策基準・実施手順という階層で構成される。最上位の基本方針は組織全体の拠り所となるため、部門ごとに実施する対策が異なっていても、方針そのものは全社で統一しておく必要がある。
出典：平成26年度 春期 ITパスポート試験 問75（IPA）
情報セキュリティポリシに関する文書を、基本方針、対策基準及び実施手順の三つに分けたとき、これらに関する説明のうち、適切なものはどれか。
正解：経営層が立てた基本方針を基に、対策基準を策定する。
要点：ポリシは基本方針→対策基準→実施手順の順に展開
情報セキュリティポリシは、経営層が示す基本方針を最上位に置き、それを実現するために守るべきルールを定めた対策基準、さらに現場での具体的な作業を書いた実施手順という三層で構成される。上位から下位へ展開する形で作るため、基本方針を基に対策基準を、対策基準を基に実施手順を定める。現場の手順から上位方針を作るという順序は逆である。
出典・参考
公式シラバスの9 技術要素 ＞ 62. 情報セキュリティ管理 ＞ (2) 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。