情報セキュリティ方針（3階層）とは？

情報セキュリティ方針（3階層）の意味

組織の情報セキュリティに対する基本的な考え方や取り組みをまとめた文書体系。一般に「基本方針」「対策基準」「実施手順」の3階層で構成され、上位ほど抽象的・恒常的、下位ほど具体的・可変的になる。

情報セキュリティ方針（3階層）の具体例

基本方針は「当社は情報資産を適切に保護する」という経営宣言、対策基準は「パスワードは12文字以上とする」という規程、実施手順は「パスワード変更の操作画面での具体的な手順書」にあたる。

情報セキュリティ方針（3階層）は試験でどう引っ掛けられる？

3階層それぞれの位置づけを取り違えやすい。基本方針は経営層が承認する最上位文書であり、実施手順は現場の担当者が日々参照する最下層の文書である。

情報セキュリティ方針（3階層）と関連する用語

• 情報セキュリティ委員会
• 管理策

情報セキュリティ方針（3階層）が出た過去問

• 会社や団体が、自組織の従業員に貸与するスマートフォンに対して、情報セキュリティポリシに従った一元的な設定をしたり、業務アプリケーションを配信したりして、スマート…

  正解：MDM（Mobile Device Management）

  要点：MDMはモバイル端末の設定と利用を一元管理する

  MDM（Mobile Device Management）は、組織が配布したスマートフォンやタブレットを一元管理する仕組みで、パスワードポリシの強制、アプリの配信や制限、紛失時の遠隔ロックやリモートワイプなどを行える。端末が社外へ持ち出される前提で運用されるため、紛失・盗難時に情報を守る手段を備えている点が重要である。私物端末を業務利用するBYODと混同しないよう注意したい。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）

• JIS Q 27001に基づく情報セキュリティ方針の取扱いとして、適切なものはどれか。

  正解：従業員及び関連する外部関係者に通知する。

  要点：情報セキュリティ方針は従業員や外部関係者へ周知する文書

  情報セキュリティ方針は、組織のセキュリティに対する経営者の意思を示す最上位文書であり、実際に守る人へ伝わらなければ意味がない。JIS Q 27001は、方針を文書化し、組織内に伝達し、必要に応じて利害関係者が入手できるようにすることを求めている。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、…

  正解：情報セキュリティ方針

  要点：全員が認識すべきは方針・自らの貢献・不適合の意味

  JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）

• IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述…

  正解：組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。

  要点：小規模組織はポリシを2階層に簡略化してもよい

  情報セキュリティポリシは基本方針・対策基準・実施手順の3階層で構成するのが基本だが、組織の規模や実態に合わせて階層を統合してもよい。中小企業では対策基準と実施手順を一体化し、基本方針と併せて2階層にすることが現実的であり、ガイドラインでも認められている。策定順序は経営者が定める基本方針が先で、そこから対策基準、実施手順へと具体化していく。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）