情報セキュリティマネジメント 平成31年度 春期 午前 問8

✓ これが正解ア “必要な資源”及び“結果の評価方法”

解説

決めるのは必要な資源と結果の評価方法の二つです。

設問が引くJIS Q 27001:2014では、情報セキュリティ目的をどのように達成するかを計画するとき、実施事項、責任者、達成期限に加えて、必要な資源と、結果の評価方法を決めることを求めています。資源の裏付けがない計画は実行できませんし、どうなれば達成と評価するのかを先に決めておかなければ、計画の成否を後から判定できないからです。ISMSの計画は、決めっ放しにせず評価まで見通して立てる、という考え方の表れです。

ほかの選択肢の解説

• イ “必要な資源”及び“適用する管理策”：必要な資源は決定事項に含まれますが、適用する管理策はこの計画の決定事項ではありません。管理策はリスク対応を検討する場面で選ぶものであり、目的の達成計画の項目には挙がっていません。
• ウ …結果の評価方法”：結果の評価方法は決定事項に含まれますが、必要なプロセスという項目はここには挙がっていません。資源という言葉をプロセスにすり替えた組合せです。
• エ …適用する管理策”：必要なプロセスも適用する管理策も、目的の達成計画で決定しなければならない事項としては挙がっていません。二つとも別の場面の言葉を持ち込んだ組合せです。