---
title: "情報セキュリティポリシーとは？3階層で理解する基本ルール【SG試験】"
description: "情報セキュリティポリシーは、組織のセキュリティ方針とルールを3階層で整理したものです。基本方針・対策基準・実施手順の違いとSG試験・情報セキュリティマネジメント試験のひっかけポイントを分かりやすく解説します。 選択肢で問われる目的・対象・責任範囲を押さえ、似た用語や対策との違いを判断できるようにします。"
last_modified_at: "2026-05-06"
canonical_url: "https://stemtazoo.github.io/sg/security-policy/"
section: "sg"
---

## まず結論
- 情報セキュリティポリシーとは、**組織が情報を守るためのルールを3階層（基本方針・対策基準・実施手順）で体系化したもの**
- SG試験では「どの階層の内容か」を見抜けるかが最重要

---

## 直感的な説明
会社で「セキュリティを強化しよう」と言っても、それだけでは動きません。

そこで、次のように分けて考えます：

- 方針（どういう考えで守るか）
- ルール（何を守るか）
- 手順（どうやってやるか）

👉 この3つを整理したものが「情報セキュリティポリシー」です

現場イメージは  
**「社長の宣言 → 社内ルール → 作業マニュアル」**

👉 これをバラバラにせず、体系化しているのがポイント

---

## 定義・仕組み
情報セキュリティポリシーは、

> ISMSに基づいて策定される、組織のセキュリティ方針とルール体系

です。

👉 単なるルールではなく、**ISMSの中核となる文書**

---

### ① 情報セキュリティ基本方針（ポリシー）
- 経営者が示すセキュリティの方向性
- 例：情報資産を適切に保護する

👉 ポイント：**抽象的・宣言レベル**
👉 外部公開されることもある

---

### ② 情報セキュリティ対策基準（スタンダード）
- 方針を実現するための具体的ルール
- 例：パスワードは○文字以上

👉 ポイント：**守るべきルール**
👉 全社共通で適用される

---

### ③ 情報セキュリティ実施手順（プロシージャ）
- 現場での具体的な作業方法
- 例：パスワード変更の操作手順

👉 ポイント：**実際のやり方**
👉 部門ごとに異なることがある

---

👉 まとめると

- 方針：なぜ守るか  
- 基準：何を守るか  
- 手順：どうやるか  

👉 **上から下に行くほど具体的になる**

---

## どんな場面で使う？
### 使う場面
- ISMSの構築・運用
- 社内ルールの統一
- 監査・認証対応
- 委託先管理

👉 SG試験では  
「どのレベルの文書か」を判断させる問題が多い

---

### 注意が必要な場面
- 基本方針に細かい手順を書く → ❌  
- 手順書に全社ルールを書く → ❌  

👉 **階層が混ざっている選択肢は基本NG**

---

## よくある誤解・混同
### ❌ 誤解①：ポリシー＝具体的ルール
👉 ⭕ ポリシーは抽象的な方針  
（具体的なのは対策基準）

---

### ❌ 誤解②：基準と手順は同じ
👉 ⭕  
- 基準＝守るルール  
- 手順＝やり方  

👉 SG試験の最頻出ひっかけ

---

### ❌ 誤解③：基本方針は変更しない
👉 ⭕ 環境変化に応じて見直す（PDCA）

---

### ❌ 誤解④：すべて公開する
👉 ⭕  
- 基本方針：公開されることあり  
- 基準・手順：非公開が基本  

---

### SG試験でのひっかけまとめ
- 「具体的すぎる」→基本方針ではない  
- 「やり方が書いてある」→手順  
- 「ルールだけ」→基準  
- 「見直さない」→誤り  

👉 **“抽象度”で判断するのがコツ**

---

## まとめ（試験直前用）
- 情報セキュリティポリシー＝3階層構造  
- 基本方針（抽象）→対策基準（ルール）→実施手順（具体）  
- ISMSの中で策定される重要文書  
- 階層が混ざっている選択肢はNG  

👉 SG試験では  
「これはどの階層か？」で切る