分野：テクノロジ系
中分類：セキュリティ
小分類：情報セキュリティ管理

情報セキュリティポリシーは、企業や組織として一貫したセキュリティ対策を行うために、技術的対策だけでなく、利用・運用面、管理面、組織体制をも含めた、企業や組織のセキュリティ方針と対策の基準を示したものです。
情報セキュリティポリシーは、一般的に「情報セキュリティ基本方針」「情報セキュリティ対策基準」「情報セキュリティ実施手順」の3階層の文書構成をとります。このうち情報セキュリティ基本方針は、「組織の経営者がセキュリティの最高責任者として、情報セキュリティに本格的に取り組む」という姿勢を示し、情報セキュリティの目標と、その目標を達成するために企業がとるべき行動を社内外に宣言する文書です。

• 規則や手順・マニュアルなどの実施基準は情報システム毎、あるいは部門毎に作成・管理され、各部門の部門長が承認者であることが一般的です。
• 社外に公開することを求められているのは基本方針だけです。
• 業界のひな形を利用することはいいのですが、各組織の独自の部分については業務内容に合う内容にすることが求められます。
• 正しい。情報セキュリティ基本方針はシステムや部門ごとに制定されるものではなく、組織全体として目標とするセキュリティレベルを定義するものです。