ISMS・諸規程・情報セキュリティ継続｜平成29年度 春期 情報セキュリティマネジメント試験 午前 問11

• 情報セキュリティ適用宣言書
• 情報セキュリティ内部監査結果
• ✓ これが正解情報セキュリティ方針
• 情報セキュリティリスク対応計画

解説

残る一つは守り方の土台を示す情報セキュリティ方針です。

設問が引くのは、ISMSの要求事項をまとめた JIS Q 27001:2014 です。組織の管理下で働く人々に求められているのは、規格の細部を覚えることではありません。自分の仕事がISMSの効き目にどう関わるのか、決められたことを守らないと何が起きるのか、そして自分の組織は情報セキュリティについて何をどう守ると決めたのか、この三つを分かっていることです。設問が先の二つを示したうえで残る一つに当たるのは、最後に挙げたもの、つまり情報セキュリティ方針です。方針は組織の考え方と進む方向を示す土台であり、日々の判断に迷ったときに立ち返る先になるため、働く人すべてが知っている必要があります。

ほかの選択肢はなぜ違うのか

• 適用宣言書は、採用する管理策と除外した管理策を、その理由とともにまとめた文書です。作成し維持する担当の実務に関わるもので、働く人すべてが常に頭に置いておく事柄として並ぶものではありません。
• 内部監査の結果は、その都度の点検で分かったことをまとめた報告です。指摘を受けた部署が改善に使うものであり、組織で働く人すべてが日常的に持ち続ける認識の土台とは位置づけが異なります。
• リスク対応計画は、見積もったリスクにどう手を打つかを定めたものです。担当する部門や担当者が実行の拠りどころにする計画であり、全員が共通して持つべき認識として並ぶものではありません。

この問題に関係する言葉

• ISMS情報を守る取り組みを、決めて実行し点検して直す流れとして続ける仕組み。個々の対策ではなく、その回し方のことです。
• 情報セキュリティ方針組織として情報を守る考え方と姿勢を示した文書のこと。従業員だけでなく関係する外部の人にも通知し、全員が認識する必要があります。
• 内部監査組織が自分たちの仕組みを、業務の担当から離れた立場の者が点検すること。結果は改善のための見直しに使われます。
• JIS Q 27001情報セキュリティの仕組みに必要な要求事項を定めた規格。本文の要求事項は全て適用が必要で、附属書Aの管理策は理由があれば除外できます。

出題当時の情報です（現在との違い）

設問が示す JIS Q 27001:2014 は2023年版に置き換わっています。正解は変わらないとみられます。

出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11

この問題を演習で解く

同じ単元をまとめて解くならISMS・諸規程・情報セキュリティ継続へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）