情報セキュリティポリシとは？じょうほうせきゅりてぃぽりし
情報セキュリティポリシとは、セキュリティの決めごとを、抽象度の違う三層に分けて文書化したもの。最上位は経営の意思を示す基本方針、中間は守るべき水準を示す対策基準、最下層は現場が実際にたどる作業手順にあたる。上へ行くほど適用範囲が広く改訂が少なく、下へ行くほど具体的で改訂が頻繁という関係が、層を分ける理由そのものになる。
最終更新：2026-10-06
プロジェクトマネージャを最短で暗記・合格する →背景
守り方を1つの文書へ書き切ると、機器を1台入れ替えるたびに経営の承認が要る状態になり、改訂が追いつかず現実と乖離する。変わらないもの（守る意思と対象）と変わるもの（手順）を層に分け、改訂の重さを層ごとに変えるための構造がこの三層になる。文書体系そのものが出題対象になるのはこのため。
具体例
NISCの「政府機関等のサイバーセキュリティ対策のための統一基準群」は、基本方針・統一基準・ガイドラインという階層で構成され、上位ほど抽象的で改訂が少なく、下位ほど具体的で改訂が頻繁という関係を実際にとっている。
試験での引っ掛け
手順まで基本方針へ書き込もうとする点。技術や体制が変わるたびに経営承認が必要になり改訂が回らなくなる。変わりやすい内容ほど下位文書へ置くのが原則で、この階層の役割分担がそのまま出題される。基本方針は対外的に公開することもあるが、手順書は公開しないという扱いの差も押さえる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。