平成30年度 秋期 午前Ⅱ 問24

✓ これが正解ウ変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

解説

変更要求が情報セキュリティ方針と管理策に与える影響の評価です。

JIS Q 20000-1 は、IT サービスマネジメントの仕組みに求める事項を、プロセスごとに定めた規格です。情報セキュリティ管理のプロセスでは、サービスへの変更が情報セキュリティを損なわないよう、変更要求を評価することが求められています。評価するのは、その変更が情報セキュリティ基本方針や管理策にどんな影響を与えうるかです。四つの選択肢はいずれも規格にある要求の形をとっているので、見分ける軸は、それぞれがどのプロセスに対する要求かです。

ほかの選択肢はなぜ違うのか

• アCMDB に記録されている CI の原本…：CMDB に記録された CI の原本を安全な格納庫で管理するのは、構成品目を管理するプロセスに対する要求です。情報セキュリティ管理のプロセスに向けた事項ではありません。
• イ潜在的な問題を低減させるために，予防処置…：潜在的な問題を減らすために予防処置をとるのは、問題の発生を防ぐ側のプロセスや改善に関わる要求です。情報セキュリティ管理のプロセスに向けた事項ではありません。
• エ変更要求の受入れについての意思決定では，…：変更要求を受け入れるかどうかの意思決定で、リスクや事業利益、技術的実現可能性を考えるのは、変更を管理するプロセスに対する要求です。同じ変更要求の話でも担当が違います。