1. 基本方針（最上位）: 組織の情報セキュリティに対する基本的な考え方や、守るべき対象、責任体制などを簡潔にまとめたものです。社内外に広く公開されることが多く、経営陣の署名によって発効します。
2. 対策基準（中位）: 基本方針を遵守するために、具体的に「どのようなセキュリティ要件を満たすべきか」を定めた社内向けの規定です。例えば、「パスワードは最低8文字以上で設定する」「個人情報の廃棄はシュレッダーを用いる」といった共通の行動ルールが記述されます。
3. 実施手順（下位）: 対策基準を実行するための、具体的な業務マニュアルや手順書です。ITシステムの特定の操作方法や設定手順などが、手順書のレベルで実務担当者向けに詳細に記載されます。

ポリシーを形骸化させないためには、全従業員に対する定期的な教育（リテラシー研修）と、ポリシーが守られているかを確認する「セキュリティ監査」を定期的に実施することが不可欠です。また、技術の進歩や法改正、脅威の変化に応じて、ポリシー自体を定期的に見直す必要があります。

試験でのポイント

試験では、情報セキュリティポリシーが「基本方針」「対策基準」「実施手順」の3層構造からなることと、それぞれの層の対象読者や記述内容の違いについて問われます（例：「基本方針は対外的にも公開される」「実施手順は具体的な機器の操作マニュアルである」など）。

また、ポリシーの策定主体は「経営層（トップマネジメント）」であることや、策定して終わりではなく「全社員への周知徹底と定期的な見直し」が必要であるという管理上の原則も出題のポイントになります。

関連する用語

関連する用語には、情報セキュリティの管理体制を包括的に定義する「ISMS（情報セキュリティマネジメントシステム）」、セキュリティ対策の実施状況を客観的に評価する「情報セキュリティ監査」、およびシステム運用におけるルールを定めた「サービスレベル合意（SLA）」があります。