---
title: "情報セキュリティ対策基準とは？ルールレベルの考え方【SG試験】"
description: "情報セキュリティ対策基準は、基本方針を実現するために守るべき管理策やルールを定める文書です。基本方針より具体的で、実施手順より抽象的な位置づけを押さえ、ポリシー階層の選択肢をSG試験向けに整理します。SG試験の出題文で迷いやすい判断ポイントも確認します。"
last_modified_at: "2026-05-06"
canonical_url: "https://stemtazoo.github.io/sg/security-policy-standards/"
section: "sg"
---

## まず結論
- 情報セキュリティ対策基準とは、**基本方針を実現するために「何を守るか」を具体的なルールとして定めた文書**
- SG試験では「方針ではなくルールレベルかどうか」を見極める問題がよく出る

---

## 直感的な説明
基本方針が「こういう考えで守る！」という宣言だとすると、

対策基準は  
👉「じゃあ何を守るの？」を決めるルールです

たとえば：

- パスワードは〇文字以上にする
- USBは許可されたものだけ使う
- アクセス権は必要最小限にする

👉 現場で守るべき**“約束ごと”**のイメージです

---

## 定義・仕組み
情報セキュリティ対策基準は、ポリシーの中間レイヤーです。

役割は以下の通り：

- 基本方針を具体化する
- 組織全体で守るルールを統一する
- セキュリティ対策の基準を示す

主な内容：

- アクセス制御のルール
- パスワード管理の基準
- ログ管理・監視のルール
- 端末・ネットワーク利用ルール

👉 ポイント  
**「何を守るか」まで書くが、「どうやるか」は書かない**

---

## どんな場面で使う？
### 使う場面
- 社内ルールの整備
- セキュリティ監査の基準
- 委託先への要求事項の提示

👉 現場では  
「人によってやり方が違う」状態を防ぐために使います

---

### 注意が必要な場面
- 手順レベルまで細かく書く
- 経営方針のような抽象的な内容を書く

👉 それは  
- 手順 → 実施手順  
- 抽象 → 基本方針  
の役割です

---

## よくある誤解・混同
### ❌ 誤解1
- 対策基準＝作業手順

👉 ⭕ 正しくは  
**ルールであり、手順ではない**

---

### ❌ 誤解2
- 対策基準＝経営方針

👉 ⭕ 正しくは  
**基本方針を具体化したもの**

---

### ❌ 誤解3
- システムごとの詳細設定を書く

👉 ⭕ 正しくは  
**組織全体のルールを書く**

---

SG試験では  
👉「これはルールか？手順か？」  
👉「これは方針か？基準か？」  
の切り分けが重要です

---

## まとめ（試験直前用）

- 対策基準＝**何を守るか（ルール）**
- 基本方針より具体的、手順より抽象的
- 手順までは書かない
- 組織全体の共通ルール
- 「やり方が書いてある」→手順なので誤り