午前問9問9IPA"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"に記載されている,基本方針,対策基準,実施手順から成る組織の情報セキュリティポリシーに関する記述のうち,適切なものはどれか。ア基本方針と対策基準は適用範囲を経営者とし,実施手順は適用範囲を経営者を除く従業員として策定してもよい。イ組織の規模が小さい場合は,対策基準と実施手順を併せて1階層とし,基本方針を含めて2階層の文書構造として策定してもよい。ウ組織の取り扱う情報資産としてシステムソフトウェアが複数存在する場合は,その違いに応じて,複数の基本方針,対策基準及び実施手順を策定する。エ初めに具体的な実施手順を策定し,次に実施手順の共通原則を対策基準としてまとめて,最後に,対策基準の運用に必要となる基本方針を策定する。定められた内容を具体的な情報システム又は業務において、どのような手順に従って実行していくのかを示すもの情報セキュリティの適用範囲は、経営者および全従業員です。ガイドラインでは、中小企業などの規模の小さい組織を対象として、対策基準と実施手順とを1階層に簡素化したポリシーの策定を紹介しています。扱う業務や管理する情報システムが多い組織では実施手順が複数になることもありますが、基本方針と対策基準は常に1つです。追って具体化していきます。Reserved.▲Pagetop。