情報セキュリティマネジメント 平成30年度 秋期 午前 問6

✓ これが正解イ 情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。

解説

必要な管理策を附属書Aと比較した結果を基に作成します。

設問が引くJIS Q 27001:2014は、情報セキュリティリスク対応の手順の一部として適用宣言書の作成を要求しています。手順の流れは、リスクアセスメントの結果を踏まえてリスク対応の選択肢を選び、その実施に必要な管理策を決定し、決定した管理策を附属書Aに示された管理策と比較して、必要な管理策を見落としていないかを検証するというものです。適用宣言書は、この比較の結果を基に、採用する管理策とその理由、除外した管理策と除外の理由を記して作成します。

つまり、管理策の決定と附属書Aとの比較が先で、適用宣言書はその後にまとめる文書だという順序が答えの決め手です。

ほかの選択肢の解説

• ア 承認された情報セキュリティリスク対応計画を基に，適用宣言書を作成する。：リスク対応計画は、対応の実施を管理するために別途策定するものです。適用宣言書の直接の土台は、承認された計画ではなく、必要な管理策と附属書Aとを突き合わせた検証の結果です。
• ウ …対応の選択肢を選定する。：作成の順序が逆になっています。リスク対応の選択肢の選定と管理策の決定をまず行い、その検証結果をまとめる文書として適用宣言書を作ります。文書が先に来る流れではありません。
• エ …を特定する。：リスクの特定は、リスクアセスメントの最初に行う洗い出しの作業です。リスク対応の段階でまとめる適用宣言書を基にして、その前段のリスク特定を行う関係は成り立ちません。