ITパスポート 平成27年度 秋期 特別措置試験 問80

✓ これが正解ウ ISMS を構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。

解説

守るものを先に決めてから、どう守るかを決めていきます。

シラバスは情報資産という語を脅威と脆弱性の手前に置き、リスクアセスメントとリスク対応を並べています。守るべきものを洗い出し、そこにどんな危うさがあるかを見積もり、どう手当てするかを決めるという順です。正解の側は、この順をそのまま述べています。仕組みそのものは、事故が起きたときだけ回すものではありません。見積もる語と手当てを決める語が、同じ行に隣り合って置かれています。並べ方そのものが、進めるべき順を表しています。外れる三つは、いずれも範囲か時期か中身のどれかを狭めています。狭めた肢が三つ並んだときは、残る一つが広いままかどうかを確かめます。

ほかの選択肢の解説

• ア ISMS のマネジメントサイクルは，セキュリティ事故が発生した時点で開始し，セキュリティ事故が収束した時点で終了する。：事故の発生で始まり、収束で終わるとした記述です。常に回し続けることが前提になっています。回す時期を狭めた肢です。シラバスは継続的な改善を同じ節に置いており、止まる前提がありません。回し続けるものとして書かれています。
• イ ISMS の構築，運用は，組織全体ではなく，必ず部門ごとに行う。：組織全体ではなく部門ごとに作るとした記述です。どこまでを対象にするかは、組織のほうで決めます。範囲を狭めた肢です。適用する範囲を線引きするのは、組織の側の仕事にあたります。一つの部門で閉じるという決まりは、どこにも書かれていません。
• エ 情報セキュリティ方針は，具体的なセキュリティ対策が記述されたものである。：方針に個々の手当てを書くとした記述です。方針は構えを示すもので、細かい手順は別に置かれます。方針の中身を狭めた肢です。