情報セキュリティポリシーとは｜3階層構造

概要

情報セキュリティポリシーとは、組織が情報セキュリティに関する方針やルールを明文化した文書体系です。「何を、なぜ、どう守るのか」を組織として定め、全員が共通の基準で行動できるようにします。

一般に、基本方針・対策基準・実施手順の3階層で構成されます。経営層がトップダウンで方針を示し、それに沿って具体的なルール・手順へと落とし込む構造です。ISMS運用の土台となります。

詳細（3階層構造）

狭義には①②を「情報セキュリティポリシー」と呼び、③は手順書として分けることもあります。

策定・運用のポイント

• 経営層が承認・関与し、組織の意思として明確にする（トップダウン）。
• 全従業員に周知・教育し、理解・遵守を徹底する。
• 形だけにせず、実態に合った内容にする（形骸化を防ぐ）。
• PDCAで定期的に見直し、環境変化に追従する。

関連例

ポリシーが整備されていても、実態と乖離していると、私物端末の業務利用や安易なパスワード使用が横行し、インシデントにつながります。逆に、現場の実態に即したポリシーと継続的な教育があれば、従業員の判断のよりどころとなり、事故を未然に防ぎます。

試験での問われ方

• 「情報セキュリティポリシーの3階層の構成はどれか」→ 基本方針・対策基準・実施手順。
• 「基本方針を承認すべきなのは誰か」→ 経営層（トップマネジメント）。
• 「ポリシーが形骸化しないために重要なことはどれか」→ 教育・周知・定期的な見直し。