対象試験と出題頻度
情報セキュリティポリシーは、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者のすべてで出題される超重要テーマです。
特に「3階層構造」の理解は必須なので、この記事で確実に押さえておきましょう。
詳細をクリックして確認
ITパスポート
情報セキュリティマネジメント
基本情報技術者
応用情報技術者
★★★★★
ランクS（超重要）絶対に覚える必要あり
用語の定義
情報セキュリティポリシー（Information Security Policy）とは、一言で言うと「組織が情報資産を守るために定めるルールや方針の体系」のことです。
イメージとしては、「会社のセキュリティに関する憲法・法律・マニュアルのセット」と考えるとわかりやすいでしょう。
憲法（基本方針）で大きな理念を掲げ、法律（対策基準）で守るべきルールを定め、マニュアル（実施手順）で具体的なやり方を説明する——この3段構えで組織のセキュリティを守る仕組みです。
情報処理試験を勉強していると、「基本方針と対策基準って何が違うの？」「実施手順ってどこまで細かく書くの？」と混乱しがちです。でも安心してください。この記事では3つの違いを明確に整理して、試験で確実に得点できるレベルまで解説します。
📊 情報セキュリティポリシーの3階層構造
| 階層 | 名称 | 内容 | 例え |
|---|---|---|---|
| 第1階層 | 基本方針 | 組織としてのセキュリティに対する基本的な考え方・姿勢を宣言 | 憲法 |
| 第2階層 | 対策基準 | 基本方針を実現するために守るべき具体的なルール・基準 | 法律 |
| 第3階層 | 実施手順 | 対策基準を実行するための具体的な操作方法・手順書 | マニュアル |
解説
情報セキュリティポリシーは、組織が保有する情報資産（顧客データ、社内文書、システムなど）を守るための「ルールブック」です。ただし、単なる1枚の文書ではなく、「基本方針」「対策基準」「実施手順」の3つの階層で構成されています。
この3階層構造は試験で繰り返し問われるポイントなので、それぞれの役割と違いをしっかり理解しておく必要があります。
第1階層：基本方針
基本方針は、組織のセキュリティに対する「宣言文」です。経営層が承認し、社内外に公開されることが多いです。
内容としては、「当社は情報セキュリティを経営の最重要課題と位置づけ、全社員が一丸となって情報資産の保護に取り組みます」といった抽象的な宣言が中心。具体的な手順は書かれていません。
なぜ抽象的なのか？ それは、基本方針はめったに変更しない「不変の理念」だからです。技術やビジネス環境が変わっても、「情報を守る」という姿勢自体は変わりませんよね。
💡 基本方針のポイント
・経営層（トップマネジメント）が承認する
・組織全体の方向性を示す
・抽象的で、頻繁には改定しない
・社外にも公開されることが多い
第2階層：対策基準
対策基準は、基本方針を実現するための「守るべきルール集」です。「何をすべきか」「何をしてはいけないか」を明確に定めます。
例えば、「パスワードは8文字以上とし、英数字と記号を含むこと」「社外への情報持ち出しは上長の承認を得ること」「退職者のアカウントは退職日当日に削除すること」といった具体的なルールが書かれます。
ただし、「どのシステムのどの画面でどうやって設定するか」といった操作レベルの話は、対策基準には書きません。それは次の実施手順の役割です。
📌 対策基準のポイント
・基本方針を受けて「何をすべきか」を規定
・部門やシステムごとに異なる基準を設けることもある
・技術の進歩や法改正に応じて改定する
・社内向けの文書（社外には非公開が多い）
第3階層：実施手順
実施手順は、対策基準を実行するための「具体的なマニュアル」です。「どのシステムで」「どの画面を開いて」「どのボタンを押すか」まで書かれた作業手順書です。
例えば、「新入社員のアカウント作成手順」「ウイルス感染時の対応フロー」「バックアップの取得手順」などがこれにあたります。
実施手順は最も頻繁に更新される文書です。システムのバージョンアップや画面変更があれば、その都度改定が必要になります。
📝 実施手順のポイント
・対策基準を「どうやって実行するか」を規定
・具体的な操作手順が書かれている
・システム変更に応じて頻繁に改定
・担当者が実際に参照する作業マニュアル
3階層の関係性を整理する
「3階層もあって覚えるのが大変そう…」と感じた人も多いのではないでしょうか。
でも、ここで割り切って考えましょう。試験で問われるのは「それぞれの階層が何を定めているか」という点だけです。細かい文書の書き方や運用方法までは出題されません。
覚え方としては、上から順に「抽象→具体」「経営層→現場」「不変→頻繁に改定」という流れで整理すれば十分です。
📊 3階層の比較表（試験対策用）
| 項目 | 基本方針 | 対策基準 | 実施手順 |
|---|---|---|---|
| 抽象度 | 高い（理念） | 中程度（ルール） | 低い（手順） |
| 承認者 | 経営層 | 情報セキュリティ委員会等 | 部門責任者 |
| 改定頻度 | ほぼ不変 | 年1回程度 | 随時 |
| 公開範囲 | 社外にも公開 | 社内限定 | 担当者限定 |
なぜ3階層に分けるのか？
「全部1つの文書にまとめればいいのでは？」と思うかもしれません。でも、分ける理由は明確です。
もし基本方針に具体的な操作手順まで書いてしまうと、システムが変わるたびに経営層の承認を得て改定する必要が出てきます。これは非効率ですよね。逆に、実施手順に「情報セキュリティは重要です」といった理念を書いても、現場の作業には役立ちません。
「変わりにくいものは上位に、変わりやすいものは下位に」——この原則に従って分離することで、効率的な運用が可能になるのです。
⚠️ 実務でのポイント
実際の企業では、情報セキュリティポリシーはISMS（情報セキュリティマネジメントシステム）の認証取得に必須の文書です。ISO/IEC 27001の認証を受けるためには、この3階層構造に沿った文書体系を整備し、定期的に見直す運用が求められます。
ただし、試験ではここまで深い知識は問われません。「3階層の名前と役割の違い」を押さえておけばOKです。
試験ではこう出る！
情報セキュリティポリシーは、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者のすべてで出題されます。特に以下のパターンは頻出なので、確実に押さえておきましょう。
【頻出キーワード】
- 3階層構造（基本方針・対策基準・実施手順）
- 基本方針 → 経営層が承認、組織の姿勢を宣言
- 対策基準 → 守るべきルールを規定
- 実施手順 → 具体的な作業マニュアル
- 上位ほど抽象的、下位ほど具体的
- 上位ほど改定頻度が低い
試験問題で「組織の情報セキュリティに対する基本的な考え方を示したもの」とあれば「基本方針」、「守るべき規則やルールを定めたもの」とあれば「対策基準」、「具体的な操作や作業の手順を示したもの」とあれば「実施手順」が正解です。
📝 IPA試験での出題パターン
情報セキュリティポリシーの問題は、「3つの階層の説明として適切なものを選べ」という形式が最も多いです。各階層の特徴（誰が承認するか、どの程度具体的か、どのくらいの頻度で改定するか）を正確に覚えておけば、確実に正解できます。また、「ポリシーの策定・運用」に関する問題では、PDCAサイクルと絡めて出題されることもあります。
【確認テスト】理解度チェック
ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。
Q. 情報セキュリティポリシーの「対策基準」に関する説明として、最も適切なものはどれでしょうか？
- A. 基本方針に基づき、組織として守るべき具体的なルールや基準を定めた文書
- B. 組織の情報セキュリティに対する基本的な考え方や姿勢を経営層が宣言した文書
- C. 対策基準を実行するための具体的な操作手順やマニュアルをまとめた文書
正解と解説を見る
正解：A
解説：
情報セキュリティポリシーは「基本方針」「対策基準」「実施手順」の3階層で構成されます。対策基準は、基本方針で示された理念を実現するために「何をすべきか」「何をしてはいけないか」という具体的なルールを定めた文書です。例えば「パスワードは8文字以上とする」「社外へのデータ持ち出しには上長の承認を得る」といった規則が含まれます。
選択肢Bは「基本方針」の説明です。組織としてのセキュリティに対する姿勢や方向性を宣言するもので、経営層が承認します。選択肢Cは「実施手順」の説明です。対策基準で定めたルールを、実際にどうやって実行するかを示した作業マニュアルに相当します。
