2017年度 秋期 情報セキュリティマネジメント 午前 問2

正解の選択肢イは、JIS Q 27001:2014の規格の基本的な考え方を正しく反映しています。規格本文の箇条4から10に規定されているISMS構築・運用・改善に関する要求事項は、組織が情報セキュリティマネジメントシステムを確立し、維持し、継続的に改善していく上で根本となるものであり、これらは原則として全て適用が必要です。一方、附属書Aに記載されている管理目的及び管理策は、ISMSを運用していく上での具体的な実践例や推奨事項であり、組織は自らのリスクアセスメントの結果に基づき、これらの管理策の中から適用するものを選定し、適用しないものについてもその理由を明確にする必要があります。つまり、附属書Aの管理策については、組織の状況やリスク評価の結果、適用が困難である、あるいは効果が限定的であると判断した場合、妥当な理由があれば適用除外することが認められています。