情報セキュリティ方針（ポリシー）
意味・解説
組織が保護すべき情報資産と、その保護のための基本原則を定めた文書。
経営者が策定する「基本方針」、具体的なルールを定めた「対策基準」、詳細な手順を示す「実施手順」の3層構造で構成されることが一般的。ISMS運用の出発点となるドキュメント。
くわしく
情報セキュリティ方針（ポリシー）は、組織にとっての「セキュリティの憲法と法律」です。ポイントは、一部の人間だけが気をつけるのではなく、組織全員が共通の基準で動かなければ情報は守れないからです。構成は一般的に3段階あります。
1.「基本方針（最高位）」：
経営者が、なぜセキュリティが必要か、その姿勢を社内外に示します。
2.「対策基準」：
全ての社員が守るべき具体的なルール（例：パスワードは8文字以上）を定めます。
3.「実施手順」：
実際の作業手順（例：PCの廃棄方法）をマニュアル化します。ITパスポート試験では、この「3層構造」の名前や、基本方針は経営者が定めるべきものであること、さらに、時代の変化に合わせて「見直し（PDCA）」が必要であることが問われます。単なる紙の文書ではなく、全社員への周知と徹底がセットで求められます。
例文
全社員が同じ基準で行動できるよう、最新の脅威に対応した情報セキュリティ方針を策定し、説明会を実施した。
過去問での出題状況
直近29回分の過去問（全2,900問）を解析した結果、2回登場しています（出題された年度: 2年度）。
出典: 本サイト独自集計（問題文および全選択肢テキストからの用語出現頻度・2026年6月時点）
同義語: 情報セキュリティポリシー
分類: 情報セキュリティ管理