正答1
解説
正解は1です。
情報セキュリティポリシは、一般に基本方針、対策基準、実施手順の三層で構成されます。
内外に宣言する最上位の文書は基本方針で、組織としての考え方を示します。
【選択肢別解説】
1：○ 基本方針には、経営陣が情報セキュリティに取り組む姿勢や目的を記載します。
経営陣が方針を示すことで、組織全体の取組の土台になります。
2：× 情報資産を守るための具体的で詳細な手順は、最下層の実施手順（手順書）に記載する内容です。
3：× セキュリティ対策に掛ける費用は、予算計画などで扱う内容です。
内外に宣言する最上位のポリシに記載するものではありません。
4：× 守る対象とする個々の情報資産は、情報資産の管理台帳などで具体的に管理します。
最上位のポリシには個々の資産までは記載しません。
【ポイント】
基本方針は「なぜ・何のために」、対策基準は「何を守るべきか」、実施手順は「どのように行うか」を示します。
基本方針と対策基準を合わせて情報セキュリティポリシと呼ぶことも多いです。