情報セキュリティポリシーとは何か？
今さらかもしれませんが、まず「情報セキュリティポリシーとは何か？」について再確認をしましょう。
総務省が運営する国民のための情報セキュリティサイト「情報セキュリティポリシーの概要と目的」に次のような記載があります。
情報セキュリティポリシーとは、企業や組織において実施する情報セキュリティ対策の方針や行動指針のことです。情報セキュリティポリシーには、社内規定といった組織全体のルールから、どのような情報資産をどのような脅威からどのように守るのかといった基本的な考え方、情報セキュリティを確保するための体制、運用規定、基本方針、対策基準などを具体的に記載するのが一般的です。
そして、情報セキュリティポリシーは通常、ポリシー（基本方針）、スタンダード（対策基準）、プロシージャー（実施手順）と３つの構造からなり、順に詳細な内容へ展開され記載されることになります。具体的には以下のような内容がその例になります。
- ポリシー：情報管理者は、安全で確実な情報システム環境を提供し、情報システムやデータの完全性を維持する責任がある。
- スタンダード：情報システム管理者はウイルス対策ソフトを使用して、悪意のあるソフトウェアの侵入を防ぎ、システムの正常な運用及び期待される運用が損なわれないようにすること。
- プロシージャー：ウイルス対策ソフトを使用するすべてのユーザーは、ウイルス定義ファイルを自動更新する設定をする。
図1:ポリシー、スタンダード、プロシージャー
また、この図のとおり、ポリシー、スタンダード、プロシージャーをそれぞれ「Why：なぜ」（志・大義）、「What：何を」（戦略）、「How：どのように」（戦術）として捉えることもあります。
