ISMS・諸規程・情報セキュリティ継続｜平成31年度 春期 情報セキュリティマネジメント試験 午前 問8

• ✓ これが正解“必要な資源”及び“結果の評価方法”
• “必要な資源”及び“適用する管理策”
• “必要なプロセス”及び“結果の評価方法”
• “必要なプロセス”及び“適用する管理策”

解説

決めるのは必要な資源と結果の評価方法の二つです。

設問が引くJIS Q 27001:2014では、情報セキュリティ目的をどのように達成するかを計画するとき、実施事項、責任者、達成期限に加えて、必要な資源と、結果の評価方法を決めることを求めています。資源の裏付けがない計画は実行できませんし、どうなれば達成と評価するのかを先に決めておかなければ、計画の成否を後から判定できないからです。ISMSの計画は、決めっ放しにせず評価まで見通して立てる、という考え方の表れです。

ほかの選択肢はなぜ違うのか

• 必要な資源は決定事項に含まれますが、適用する管理策はこの計画の決定事項ではありません。管理策はリスク対応を検討する場面で選ぶものであり、目的の達成計画の項目には挙がっていません。
• 結果の評価方法は決定事項に含まれますが、必要なプロセスという項目はここには挙がっていません。資源という言葉をプロセスにすり替えた組合せです。
• 必要なプロセスも適用する管理策も、目的の達成計画で決定しなければならない事項としては挙がっていません。二つとも別の場面の言葉を持ち込んだ組合せです。

この問題に関係する言葉

• ISMS情報を守る取り組みを、決めて実行し点検して直す流れとして続ける仕組み。個々の対策ではなく、その回し方のことです。
• 管理策危険を減らすために実際に行う手立て。一覧として並べられていて、自分たちに要らないものは理由を示して外すことができます。

出題当時の情報です（現在との違い）

設問が示す JIS Q 27001:2014 は2023年版に置き換わっています。正解は変わらないとみられます。

出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問8

この問題を演習で解く

同じ単元をまとめて解くならISMS・諸規程・情報セキュリティ継続へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）