情報セキュリティマネジメント 平成29年度 秋期 午前 問2

✓ これが正解イ 規格本文の箇条4～10に規定された要求事項：全て適用が必要である，附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる。

解説

本文の要求事項は全て必要で、附属書Aの管理策は除外できます。

設問が引くのは JIS Q 27001:2014 です。適合を宣言するというのは、規格が組織に求めている事柄をすべて満たしていると自ら表明することですから、規格本文の箇条4から10までに並ぶ要求事項は、どれ一つとして外せません。これに対して附属書Aに並ぶ管理策は、組織が自分のリスクアセスメントの結果に応じて必要なものを選び取るための一覧という位置づけです。自組織のリスクに照らして当てはまらない管理策は、妥当な理由を示したうえで適用しないことができ、採用したもの、除外したものとその理由は文書（適用宣言書）にまとめます。したがって、本文の要求事項は全て適用が必要で、附属書Aの管理策は妥当な理由があれば適用除外できる、という組合せが適切です。

ほかの選択肢の解説

• ア …全て適用が必要である，附属書A“管理目的及び管理策”に規定された管理策：全て適用が必要である。：附属書A側まで一つ残らず適用しなければならないとすると、自組織のリスクに関係のないものまで一律に求めることになります。管理策は評価の結果に応じて選ぶものなので、この組合せは実態と合いません。
• ウ …妥当な理由があれば適用除外できる，附属書A“管理目的及び管理策”に規定された管理策：全て適用が必要である。：規格本文の側を、理由さえあれば外せる扱いにしてしまうと、適合を宣言するという行為の前提そのものが崩れます。本文の要求は満たすことが前提であり、除外の余地を認める側に置くのは誤りです。
• エ …妥当な理由があれば適用除外できる，附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる。：両方とも理由があれば外せるとする組合せです。管理策の選び方に幅がある点までは正しいのですが、本文の要求まで外せるとしてしまう点で、適合の宣言と両立しません。