情報セキュリティ方針（3階層）とは？じょうほうせきゅりてぃほうしん
情報セキュリティ方針（3階層）とは、組織の情報セキュリティの決めごとを、基本方針・対策基準・実施手順の3階層に整理した文書体系。上へ行くほど抽象的で長く変わらず、下へ行くほど具体的で更新が頻繁になる。基本方針は経営層が承認して対外的にも示す宣言、実施手順は現場が日々参照する作業レベルの文書にあたる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
すべてを1冊の規程に書くと、操作画面が変わるたびに経営が承認した文書を改訂することになり、運用が回らない。逆に手順書だけを配れば、なぜそうするのかが伝わらず、想定外の場面で判断できない。変わらないもの（守る姿勢と目的）と変わるもの（具体的なやり方）を層に分け、承認する人と更新の頻度を層ごとに変えたのがこの構成である。JIS Q 27001に沿った運用でも、方針・基準・手順の関係を説明できることが前提になる。
具体例
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、基本方針の文例と、それを受けた社内規程・手順書のひな形を付録として公開している。基本方針が「当社は預かった顧客情報を保護する」という経営の宣言、対策基準が「パスワードは12文字以上とする」という規程、実施手順が「多要素認証を登録する操作の手引き」にあたる。
試験での引っ掛け
どの文書がどの層にあたるかを入れ替えた選択肢が出る。経営層が承認するのは基本方針、現場が毎日見るのは実施手順。改訂の重さも層で違い、手順の見直しに経営承認を要求する記述は誤り。また基本方針は社外へ公開することがあるが、対策基準や実施手順は自組織の守り方を明かすことになるため公開しないのが原則である。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）
会社や団体が、自組織の従業員に貸与するスマートフォンに対して、情報セキュリティポリシに従った一元的な設定をしたり、業務アプリケーションを配信したりして、スマート…
正解：MDM（Mobile Device Management）
要点：MDMはモバイル端末の設定と利用を一元管理する
MDM（Mobile Device Management）は、組織が配布したスマートフォンやタブレットを一元管理する仕組みで、パスワードポリシの強制、アプリの配信や制限、紛失時の遠隔ロックやリモートワイプなどを行える。端末が社外へ持ち出される前提で運用されるため、紛失・盗難時に情報を守る手段を備えている点が重要である。私物端末を業務利用するBYODと混同しないよう注意したい。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）
JIS Q 27001に基づく情報セキュリティ方針の取扱いとして、適切なものはどれか。
正解：従業員及び関連する外部関係者に通知する。
要点：情報セキュリティ方針は従業員や外部関係者へ周知する文書
情報セキュリティ方針は、組織のセキュリティに対する経営者の意思を示す最上位文書であり、実際に守る人へ伝わらなければ意味がない。JIS Q 27001は、方針を文書化し、組織内に伝達し、必要に応じて利害関係者が入手できるようにすることを求めている。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）
IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述…
正解：組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。
要点：小規模組織はポリシを2階層に簡略化してもよい
情報セキュリティポリシは基本方針・対策基準・実施手順の3階層で構成するのが基本だが、組織の規模や実態に合わせて階層を統合してもよい。中小企業では対策基準と実施手順を一体化し、基本方針と併せて2階層にすることが現実的であり、ガイドラインでも認められている。策定順序は経営者が定める基本方針が先で、そこから対策基準、実施手順へと具体化していく。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティ諸規程（情報セキュリティポリシーを含む組織内規程）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。