情報セキュリティマネジメント 令和5年度 科目A 問1

✓ これが正解イ JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。

解説

JIS Q 27001と27002との整合をとった基準です。

設問が扱う情報セキュリティ管理基準（平成28年）は、国際規格に対応した日本の規格、すなわちJIS Q 27001:2014とJIS Q 27002:2014との整合をとって作られています。この改正自体、対応する国際規格が改まったことを受けたものです。平成28年改正版の構成はマネジメント基準と管理策基準の二つで、前者が情報セキュリティマネジメントの一連の流れに必要な実施事項の枠組みを、後者が個々の管理策の例を示します。だから、二つの規格との整合をとっているという記述が適切です。

ほかの選択肢の解説

• ア “ガバナンス基準”，“管理策基準”及び“マネジメント基準”の三つの基準で構成されている。：平成28年改正版の構成は、マネジメント基準と管理策基準の二つです。ガバナンス基準を加えた三つとするこの記述は、設問が問うている平成28年の構成とは合いません。
• ウ 情報セキュリティ対策は，“管理策基準”に挙げられた管理策の中から選択することとしている。：管理策基準は個々の管理策の例を示すものですが、対策をその中からだけ選ぶという建て方ではありません。必要な対策は組織のリスクに応じて決めるので、この記述は当てはまりません。
• エ トップマネジメントは，“マネジメント基準”に挙げられている事項の中から，自組織に合致する事項を選択して実施することとしている。：マネジメント基準に挙げられた事項は、一連の流れを成り立たせるために必要な枠組みです。合致するものだけを選んで実施するという位置づけではないため、この記述は適切ではありません。