ITパスポート 令和4年度公開問題科目A問85

情報セキュリティポリシー（Information Security Policy）は、組織が保有する情報資産を守るための基本的な考え方やルールを体系的にまとめたものです。一般的に、基本方針、対策基準、実施手順の三つで構成されます。

基本方針は、経営者（トップマネジメント）が情報セキュリティに取り組む姿勢や目的を示すものであり、「なぜ必要か（Why）」を定める最上位の文書です。

対策基準は、基本方針を受けて組織として何を実施すべきかを定めるものであり、「何をするか（What）」を規定したルール集です。
実施手順は、対策基準で定めた内容を具体的にどのように実行するかを示すものであり、「どのように行うか（How）」を記述した手順書です。
このように、情報セキュリティポリシーは「Why → What → How」という階層構造で整理されることが重要です。