令和4年度 秋期 午前Ⅱ 問3

✓ これが正解ウ大企業だけでなく，中小企業向けの情報システム化戦略，情報システム化実践に関わる適切な自己診断及び監査にも使用できる。

解説

中小企業の自己診断や監査にも使用できると前文に記されています。

設問が引くシステム管理基準（平成30年）の前文は、同基準を活用する際の留意点を述べています。同基準は大企業だけを想定したものではなく、中小企業の情報システム化戦略や情報システム化の実践に関わる適切な自己診断や監査にも使用できるとされています。また、管理項目は網羅的に適用することを前提とせず、組織体の目的や環境に応じて取捨選択したり、必要な項目を補ったりして使うことが想定されています。見分ける軸は、基準を固定的に当てはめるのか、組織に合わせて柔軟に使うのかという点です。組織の規模や特性に合わせて柔軟に使えるとする記述が、前文の趣旨に沿います。

ほかの選択肢はなぜ違うのか

• アシステム管理及びシステム監査の主旨を実現…：同基準の管理項目は、すべてを網羅的に当てはめることを前提にしたものではありません。組織体の目的や規模、環境に応じて必要な項目を選んで使うことが想定されているので、網羅的な適用を義務とする記述は趣旨に反します。
• イ情報セキュリティの監査・管理を実施する場…：情報セキュリティの監査や管理に情報セキュリティ管理基準を用いることは考えられますが、同基準を使ってはならないとまで限定する記述は、組織に合わせて柔軟に活用するという前文の趣旨と合いません。
• エ同基準を基に企業などが独自の管理基準を策…：独自の管理基準を作る際に、同基準の管理項目をできるだけそのまま採用するという考え方は、前文の趣旨とは逆です。組織体の特性に合わせて項目を選んだり変えたりして策定することが想定されており、そのまま写せば有効性が高まるわけではありません。