令和6年度 春期 午前Ⅱ 問25

✓ これが正解イガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められている。

解説

ガバナンス基準は経営陣が主体で、評価や指示などを定めています。

設問が引く令和5年9月22日最終改定のISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つから構成されています。見分ける軸は、それぞれの基準の実施主体と、定めている内容の組合せです。ガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証を定めています。マネジメント基準は管理者を実施主体とし、情報セキュリティマネジメントの計画、実行、点検、処置とリスクコミュニケーションに必要な事項を定めます。管理策基準は、リスク対応方針に従って管理策を選ぶ際の選択肢を与えるものです。経営陣はガバナンス、管理者はマネジメント、管理策の選択肢は管理策基準と、主体と役割を組にして押さえると判断できます。

ほかの選択肢はなぜ違うのか

• アISMAP管理基準は，ガバナンス基準，マ…：四つの基準から構成されるという点が誤りです。設問が引く版のISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成されており、監査基準という基準はその中に含まれていません。
• ウ管理策基準は，管理者が実施すべき事項とし…：管理者が実施すべき事項として、計画から処置までとリスクコミュニケーションに必要な事項を定めているのは、マネジメント基準の役割です。それを管理策基準の説明としている点で、二つの基準の役割が入れ替わっています。
• エマネジメント基準は，組織における情報セキ…：組織がリスク対応方針に沿って管理策を選ぶときに、その選択肢を示すのは管理策基準の役割です。それをマネジメント基準の説明として述べているため、基準の名前と内容の組合せが合っていません。