情報セキュリティマネジメント 平成31年度 春期 午前 問1

✓ これが正解ウ 前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

解説

前回の処置状況、内部監査の結果、不適合と是正処置の組です。

マネジメントレビューは、トップマネジメントがISMSを定期的に見直し、改善につなげる活動です。設問が引くJIS Q 27001:2014は、このレビューで考慮しなければならない事項として、前回までのマネジメントレビューの結果とった処置の状況、内部監査の結果、発生した不適合及び是正処置の状況といった、ISMSの運用の実績と改善の情報を挙げています。この3つがそろった組合せが適切です。一方、情報セキュリティ目的は、どのように達成するかを計画の段階で定めるものであり、レビューの場で考慮の対象になるのは目的そのものではなく、その達成の状況や運用の結果の側です。

ほかの選択肢の解説

• ア …トップマネジメントが設定した情報セキュリティ目的／内部監査の結果：この組合せにはトップマネジメントが設定した情報セキュリティ目的そのものが入っており、発生した不適合及び是正処置の状況が抜けています。改善が機能しているかを見る材料を欠いた組です。
• イ …トップマネジメントが設定した情報セキュリティ目的／発生した不適合及び是正処置の状況：情報セキュリティ目的そのものが入り、内部監査の結果が抜けている組合せです。決めたとおりに運用されているかを確かめた内部監査の結果は、見直しの材料として欠かせません。
• エ トップマネジメントが設定した情報セキュリティ目的／内部監査の結果／発生した不適合及び是正処置の状況：情報セキュリティ目的そのものが入り、前回までのマネジメントレビューの結果とった処置の状況が抜けています。前回決めた処置の行方を確かめなければ、見直しがやりっ放しになります。