個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第66問: 組織における情報セキュリティ規程の階層構造として、一般に適切なものはどれか。

正解: 2. 基本方針（ポリシー）→ 対策基準（スタンダード）→ 実施手順（プロシージャ）

情報セキュリティ関連文書は、組織の姿勢を示す基本方針、遵守すべき具体的な基準を定める対策基準、現場の作業手順を定める実施手順という三層で整理されるのが一般的です。ガイドライン別添も、基本方針の策定と個人データの取扱いに係る規律（取扱規程）の整備を区別して示しており、同様の考え方に立っています。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 規程の階層・基本方針・対策基準・実施手順