正解：イ
各選択肢の解説
ア情報セキュリティ方針。経営者が情報セキュリティへの取組姿勢を示す最上位の文書。
誤り。方針は「なぜ、どういう姿勢で守るのか」を示す文書で、個別の技術や サービスごとの規則は書きません。新しい技術が出るたびに書き換える文書ではなく、 問題文でも方針は変えないとしています。
イ情報セキュリティ対策基準。方針を実現するために守るべき規則を、分野ごとに定める文書。
正解。方針はそのままに、「何をしてはならないか」「何を守るか」という規則を 加えるのは対策基準の役割です。生成AIのように新しい利用形態が出てきたときは、 まずここに規則を追加します。
ウ実施手順。規則を守るための具体的な操作や手続を、担当者向けに定める文書。
誤り。実施手順は、決まった規則を現場でどう実行するかを書く文書です。 生成AIの設定方法や申請の流れはここに書きますが、入力してよい情報の範囲という 規則そのものは、その上の対策基準で決めます。
エプライバシーポリシー。個人情報の取扱いに関する方針を、社外に向けて示す文書。
誤り。これは顧客など本人に向けて個人情報の扱い方を公表する文書です。 入力してはならない情報には個人情報も含まれますが、社員の行動を縛る 社内の規則は、情報セキュリティポリシーの側で定めます。
理解を深めるために
憲法を変えずに、法律を足す
国の仕組みにたとえると、情報セキュリティ方針は憲法、対策基準は法律、 実施手順は役所の窓口マニュアルにあたります。新しい問題が起きるたびに 憲法を書き換えることはなく、法律を追加して対応します。
生成AIの業務利用も同じです。「情報資産を適切に守る」という方針は変わらず、 方針を実現するための規則を定める対策基準に、新しい規則を足します。
3階層の役割
- 情報セキュリティ方針：取り組む目的と基本姿勢。経営者が示し、めったに変わらない
- 情報セキュリティ対策基準：方針を受けて、守るべき規則を分野ごとに定める
- 実施手順：規則を守るための具体的な操作や手続。業務に合わせて頻繁に変わる
上の階層ほど抽象的で変わりにくく、下の階層ほど具体的で変わりやすい、 という関係です。技術や業務の変化には、下の階層から順に対応していきます。 E社の場合、対策基準に「機密情報や個人情報は生成AIに入力しない」といった規則を加え、 必要なら実施手順に利用申請の流れや設定方法を書き足します。
混同しやすい文書との違い
| 文書 | 書くこと | 生成AIへの対応で書く内容 |
|---|---|---|
| 情報セキュリティ方針 | 目的と基本姿勢 | 原則として変えない |
| 情報セキュリティ対策基準 | 守るべき規則 | 入力してはならない情報の区分 |
| 実施手順 | 具体的な操作や手続 | 利用申請の流れ、設定方法 |
| プライバシーポリシー | 個人情報の扱い（社外向け） | 社内規則は書かない |
「規則（何を守るか）」なら対策基準、「やり方（どう操作するか）」なら実施手順、 と切り分けると迷いません。