正答3
解説
正解は3です。
情報セキュリティポリシを構成する基本方針、対策基準、実施手順の位置付けを問う問題です。
基本方針が最上位で、その下に対策基準、さらにその下に実施手順が位置付けられます。
【選択肢別解説】
1：× 基本方針は、経営者が組織の情報セキュリティに対する考え方や姿勢を示すものです。
従業員が対策基準や実施手順に従って策定するものではありません。
2：× 基本方針は、組織としての方針や目標を宣言する文書です。
事故の発生時に経営者がとる行動を記したマニュアルではありません。
3：○ 実施手順は、対策基準で決めた事項を担当者が実際に実施できるように、具体的な手順や方法を記述したものです。
4：× 対策基準は、基本方針を実現するために守るべき具体的な規則や基準を定めたものです。
基本方針や実施手順に何を書くべきかを定める文書ではありません。
【ポイント】
基本方針と対策基準を合わせて「情報セキュリティポリシ」と呼ぶこともあります。
基本方針は「なぜ・何を」、対策基準は「何を守るか」、実施手順は「どのように行うか」と整理します。