平成27年度 秋期 午前 問40

✓ これが正解ウJIS Q 27001 に基づき，組織が構築した情報セキュリティマネジメントシステムの適合性を評価する。

解説

ISMS適合性評価はJIS Q 27001に基づく制度です。

ISMS適合性評価制度は、組織が情報セキュリティマネジメントシステムをどれくらいきちんと作り上げ、運用できているかを、第三者が客観的に評価し認証する仕組みです。評価のよりどころとなる規格は、情報セキュリティマネジメントの要求事項をまとめたものが用いられます。設問が問うているのは、この制度の説明として妥当な選択肢の特定です。見分けるときの軸は二つで、一つ目は評価の対象が何かで、IT関連製品のセキュリティ機能なのか、個人情報の保護体制なのか、組織のマネジメントシステムなのか、暗号モジュールなのかです。二つ目は、よりどころとする規格や基準がどれかで、ISO/IEC 15408、JIS Q 15001、JIS Q 27001、電子政府推奨暗号リストといった候補があります。この二つを重ねると、対象が組織のマネジメントシステムで、基準が情報セキュリティマネジメントの要求規格であるものが一つに絞られます。

ほかの選択肢はなぜ違うのか

• アISO/IEC 15408 に基づき，I…：ISO/IEC 15408に基づきIT関連製品のセキュリティ機能の適切性と確実性を評価する仕組みは、ITセキュリティ評価及び認証制度の説明です。評価の対象が製品なので、組織のマネジメントシステムを対象とする制度とは異なります。
• イJIS Q 15001 に基づき，個人情…：JIS Q 15001に基づき個人情報について適切な保護措置を講じる体制を整備している事業者などを認定する仕組みは、プライバシーマーク制度の説明です。対象が個人情報の保護体制なので、この設問の制度には該当しません。
• エ電子政府推奨暗号リストに基づき，暗号モジ…：電子政府推奨暗号リストに基づき暗号モジュールが適切に保護されていることを認証する仕組みは、暗号モジュール試験及び認証制度の説明です。対象が暗号モジュールなので、組織のマネジメントを対象とする制度ではありません。