情報セキュリティマネジメント 平成28年度 春期 午前 問3

✓ これが正解イ 情報セキュリティ監査

解説

独立した立場で検証し保証や助言を与えるのが情報セキュリティ監査です。

設問が述べているのは、リスクアセスメントを踏まえて選ばれた対策が、きちんと整備され、そのとおりに運用されているかを確かめ、その結果として保証を与えたり助言を行ったりする仕組みです。これが情報セキュリティ監査です。確かめられる側と同じ立場にいる人が確かめても、身内の点検にとどまってしまいます。だから実施する人には、対象から独立していることと、専門的な知識をもっていることの両方が求められます。設問の末尾が実施者の独立かつ専門的な立場という条件を挙げているのは、この仕組みの成り立ちを示す部分です。

ほかの選択肢の解説

• ア コントロールセルフアセスメント（CSA）：コントロールセルフアセスメントは、業務を担っている部門が自分たちの手で点検するやり方です。現場が自ら見直す手立てとしては有効ですが、対象から離れた立場という条件のほうを満たしません。
• ウ 情報セキュリティ対策ベンチマーク：情報セキュリティ対策ベンチマークは、自組織の状況を入力して取組の度合いを自己診断するための道具です。診断する主体が対象そのものなので、対象から独立した立場の者が検証したうえで保証や助言を与える仕組みには当たりません。
• エ ディジタルフォレンジックス：デジタルフォレンジックスは、事故や不正が起きたあとに、法的な証拠となるデータを集め、保全し、調べて分析する取組です。平時に対策の整備状況や運用状況を確かめる活動とは、目的も働く場面も異なります。