ある企業が、情報セキュリティポリシーを「情報セキュリティ方針」「情報セキュリティ 対策基準」「実施手順」の三つの階層で整備することにした。 最上位の情報セキュリティ方針に記載する内容として最も適切なものはどれか。

正解：イ

1. アPCを社外へ持ち出すときの申請書の書き方と、提出先の窓口を示した手引。

   誤り。これは最下位の実施手順にあたります。担当者がその場で見て作業できる 具体的な手続で、業務のやり方が変われば頻繁に書き換わります。方針とは 更新の頻度がまったく違います。

2. イ情報セキュリティに取り組む目的と基本的な考え方を、経営者の責任として示した宣言。

   正解。方針は「なぜ取り組むのか」「経営としてどう関与するのか」を示す最上位の 文書です。個別のルールを含まないので短く、社外にも公開できる内容になります。

3. ウ情報資産の重要度の区分ごとに、アクセスできる範囲と保管の方法を定めたルール。

   誤り。これは中間層の対策基準です。方針を実現するために「何を守るか」を 具体的な規則にしたもので、方針より詳しく、実施手順よりは手順に踏み込まない 位置づけになります。

4. エ従業員がSNSで会社に関する話題を投稿するときの注意点をまとめた指針。

   誤り。これはソーシャルメディアガイドライン（SNS利用ポリシー）です。 情報セキュリティポリシーと並ぶ組織内規程の一つですが、対象がSNSの利用に 限られており、全社の姿勢を示す方針ではありません。