正答1
解説
正解は1です。
情報セキュリティポリシを構成する基本方針、対策基準、実施手順の役割を問う問題です。
基本方針は組織としての情報セキュリティへの取組の考え方を示し、対策基準は基本方針に基づいて守るべきルールを定めます。
実施手順は、対策基準を具体的にどう実行するかを示した手順書です。
【選択肢別解説】
1：○ 基本方針は、経営者（トップマネジメント）が情報セキュリティに取り組む意思や方針を示したもので、対策基準や実施手順を定める際のよりどころになります。
2：× 実施手順は、対策基準を実際の業務で実行するための具体的な手順を示したものです。
基本方針や対策基準を作ったときの作業記録ではありません。
3：× 対策基準は、基本方針に基づいて、組織が実施すべき具体的な対策のルールを定めたものです。
ポリシ文書の書き方の基準ではありません。
4：× 対策基準は事故発生後の対策に限らず、予防を含めた全般的なルールを定めたものです。
また、より具体的で詳しい内容を記述するのは実施手順の方です。
【ポイント】
情報セキュリティポリシは「基本方針、対策基準、実施手順」の順に、抽象的なものから具体的なものになる階層構造です。
一般に、基本方針と対策基準を合わせて情報セキュリティポリシと呼びます。