前回は、情報セキュリティポリシーの適用範囲について確認した。今回から、情報セキュリティポリシーを構成する3階層～基本方針・対策基準・実施手順～を取り上げる。今回は、最上位に位置する「情報セキュリティ基本方針」である。
情報セキュリティポリシーは3階層で構成される
情報セキュリティポリシーは、単一の文書ではなく、通常は次の3つの階層から成る文書体系として整備される。
- 情報セキュリティ基本方針（トップレベルの宣言文書）
- 情報セキュリティ対策基準（基本方針を具体化した規程集）
- 情報セキュリティ対策実施手順（現場向けの実務マニュアル）
上位の文書ほど抽象度が高く、下位の文書ほど具体的な作業レベルの内容になる。この構造を理解しておくことは、情報セキュリティマネジメント試験において頻出のポイントである。
情報セキュリティ基本方針とは何か
情報セキュリティ基本方針は、組織のトップマネジメント（経営陣）が、情報セキュリティに対する組織としての姿勢や取り組み方針を宣言する文書である。いわば、情報セキュリティに関する組織の「憲法」にあたる位置づけといえる。
基本方針には、主に次のような事項が記載される。
- 情報セキュリティに取り組む目的・意義
- 適用範囲（対象となる組織・従業者・情報資産）
- 経営陣の責任とコミットメント
- 従業者が遵守すべき基本的な事項
- 違反した場合の取り扱いに関する基本的な考え方
基本方針は抽象的な宣言にとどまり、具体的な手順や技術的な設定値までは記載しない。
これらは下位の対策基準・実施手順に委ねられる。
対外的に公表されることが多い
情報セキュリティ基本方針は、対策基準や実施手順とは異なり、取引先や顧客など社外に対しても公表されることが一般的である。自社ウェブサイトで「情報セキュリティ基本方針」を公開している企業も多く見られる。これは、組織として情報セキュリティに真剣に取り組んでいる姿勢を対外的に示すという意味合いも持つ。
公開の例：ＴＩＳインテックグループ
一方、対策基準・実施手順は、具体的な管理策や手順が記載されているため、原則として社内文書（機密情報）として扱われ、外部には公開されない点に注意したい。
試験対策のポイント
情報セキュリティマネジメント試験では、次のような観点が問われやすい。
- 基本方針は経営陣が策定・承認する、組織の意思表明である
- 基本方針は抽象度が高く、具体的な手順は記載しない
- 基本方針は対外公表されることが多い（対策基準・実施手順は非公開が原則）
- 3階層構造（基本方針・対策基準・実施手順）の順序と役割を正しく理解しておく
次回は、この基本方針を具体化する「情報セキュリティ対策基準」について解説する。
コメント