出典：平成30年度 秋期 情報セキュリティマネジメント試験（SG） 午前 問9
難易度設定
予備知識
| 用語 | 意味 |
|---|---|
| 情報セキュリティ | 情報の安全を守ること |
| IPA | 日本のIT力を高めるために頑張っている、国の手先っぽい団体 |
| 中小企業の情報セキュリティ対策ガイドライン | IPAが公開している資料のひとつで「えっ？情報セキュリティ対策をしたい？じゃあ、こんなことを意識して、こんなことをやれよ」が書いてある中小企業向けの資料 |
| 情報セキュリティポリシー | 情報の取り扱いに関する あれやこれやを定義したもの |
| 情報資産 | 価値がある情報（と、その情報の入れ物） |
問題
| 問題文 |
|---|
| IPA"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述のうち，適切なものはどれか。 |
| ピヨ意訳：『中小企業の情報セキュリティ対策ガイドライン(第2.1版)』の話だよ。「基本方針」「対策基準」「実施手順」から成る組織の情報セキュリティポリシーに関する説明のうち、正しいのは、どれ？ |
| 解答選択肢 | |
|---|---|
| ア | 基本方針と対策基準は適用範囲を経営者とし，実施手順は適用範囲を経営者を除く従業員として策定してもよい。 |
| ピヨ意訳：「基本方針」と「対策基準」は経営者を対象として「実施手順」は経営者を除いた社員を対象にしても良いよ | |
| イ | 組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。 |
| ピヨ意訳：組織の規模が小さいときは「対策基準」と「実施手順」をまとめて「基本方針」と「対策基準＋実施手順」の2階層でやっても良いよ | |
| ウ | 組織の取り扱う情報資産としてシステムソフトウェアが複数存在する場合は，その違いに応じて，複数の基本方針，対策基準及び実施手順を策定する。 |
| ピヨ意訳：取り扱うシステムが複数あるときは、その違いに応じて「基本方針」「対策基準」「実施手順」も複数用意する必要があるよ | |
| エ | 初めに具体的な実施手順を策定し，次に実施手順の共通原則を対策基準としてまとめて，最後に，対策基準の運用に必要となる基本方針を策定する。 |
| ピヨ意訳：「実施手順」→「対策基準」→「基本方針」の順で作るよ | |
正解
| 正解 | |
|---|---|
| イ | 組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。 |
| ピヨ意訳：組織の規模が小さいときは「対策基準」と「実施手順」をまとめて「基本方針」と「対策基準＋実施手順」の2階層でやっても良いよ | |
ピヨピヨ解説
これは知識として知っているかの問題ですね。
"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"の28ページに以下のような説明が載っています。
企業が直面するリスクは、事業領域や取り扱う情報、企業を取り巻く環境によって異なります。したがって、ポリシーのサンプルを入手して社名を変えるだけではうまく機能しません。本章で示す手順に従い、自社に適したポリシーを作成することが重要です。本ガイドラインでは、単一事業を営む中小企業を主な対象にしていますので、対策基準と実施手順とを１階層に簡素化したポリシーの策定について説明します(図6)。
この説明の
単一事業を営む中小企業を主な対象にしていますので、対策基準と実施手順とを１階層に簡素化したポリシーの策定について説明します
の部分に注目してください。
少し意訳が必要ですが
（単一事業を営む）中小企業は、対策基準と実施手順を併せて１階層にしたポリシーを策定して良いよ！
と読み取れますよね。
ということで「イ：組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。」が正解です。
ちなみに、頑張れば国語力と直観力でも解けないことは ありません。
「ア：基本方針と対策基準は適用範囲を経営者とし，実施手順は適用範囲を経営者を除く従業員として策定してもよい。」は少しおかしい気がします。
基本方針と対策基準と実施手順は、つながっています。
実施手順だけ適用範囲が違うって、おかしいですよね？
「ウ：組織の取り扱う情報資産としてシステムソフトウェアが複数存在する場合は，その違いに応じて，複数の基本方針，対策基準及び実施手順を策定する。」も少しおかしい気がします。
一般的な話として、基本方針を複数作るって違和感ありませんか？
「エ：初めに具体的な実施手順を策定し，次に実施手順の共通原則を対策基準としてまとめて，最後に，対策基準の運用に必要となる基本方針を策定する。」は明らかにおかしいです。
この選択肢は「手順」→「基準」→「方針」の順番で作るよ！と言っています。
普通に考えて、作る順番は「方針」→「基準」→「手順」ですよね。
ということで「ア」「ウ」「エ」が何となくおかしいことに気付ければ「イ」が正解だと推測できます。
