令和6年度 春期 ITストラテジスト 午前II 問25

各選択肢の解説

ア

ISMAP 管理基準は、ガバナンス基準,マネジメント基準,管理策基準,監査基準の四つから構成されている。

誤りです。ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成されており、監査基準は含まれません。管理基準は、ISMAPの情報セキュリティ監査基準等に従って監査するときに監査人が前提として用いる基準です。監査基準そのものではないので、三部構成と直せば正しくなります。

イ

ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示,モニタ, コミュニケーション及び保証の各プロセスが定められている。

正しいです。ガバナンス基準は、経営陣が実施すべき事項を定めた基準です。JIS Q 27014の内容を精査し、監査の実施可能性の観点からプロセスの4桁部分を再構成しています。第3章では、評価、指示、モニタ、コミュニケーションの各プロセスと、独立した客観的な意見を得るための保証プロセスを定めています。実施主体とプロセスの記述がどちらも基準と一致します。

ウ

管理策基準は、管理者が実施すべき事項として、情報セキュリティマネジメントの計画、実行,点検,処置及びリスクコミュニケーションに必要な事項を定めている。

誤りです。管理者が実施すべき事項として、情報セキュリティマネジメントの計画、実行、点検、処置、リスクコミュニケーションを定めているのはマネジメント基準です。管理策基準は、管理目的と詳細管理策で構成され、管理策を選択する際の選択肢を与える基準です。主語をマネジメント基準に直せば正しくなります。

エ

マネジメント基準は、組織における情報セキュリティマネジメントの確立段階において、リスク対応方針に従って管理策を選択する際の選択肢を与えている。

誤りです。確立段階でリスク対応方針に従って管理策を選ぶ際の選択肢を与えるのは、管理策基準の役割です。マネジメント基準は、管理者が実施すべき情報セキュリティマネジメントの計画、実行、点検、処置、リスクコミュニケーションを定めています。両者の役割を取り違えているので、主語を管理策基準に直せば正しくなります。