問78
頻出度★★★
ISMSを構築する組織において, 企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは, ISMSのPDCAサイクルのどのプロセスで実施されるか。
平成26年度 秋期 ITパスポート試験 問78
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 78
- ア
正解 正解は ア (P = Plan)。ISMS (情報セキュリティマネジメントシステム) は PDCA サイクルで運用され、P (計画) では「何を、どこまで、どう守るか」の枠組みを決めます。具体的には、経営方針との整合を取った情報セキュリティ基本方針 (ポリシー) の策定、ISMS の適用範囲の決定、リスクアセスメントの実施と管理策の選択までが P の作業です。設問の「企業の経営方針に基づいて情報セキュリティ基本方針を策定した」は、組織全体のセキュリティの方向性を最初に定める行為であり、以降の D・C・A すべての土台になります。したがって P のプロセスで実施されます。
不正解イ
D (Do = 導入・運用) は、P で決めた基本方針や管理策を実際に実行に移す段階です。規程やマニュアルの整備、従業員教育、アクセス制御やウイルス対策などの具体的な運用がこれに当たります。基本方針そのものを「作る」のは D ではなく、その前段の P です。
不正解ウ
C (Check = 点検・評価) は、運用した ISMS が方針や目標どおりに機能しているかを確かめる段階です。内部監査、有効性のレビュー、経営陣によるマネジメントレビューなどが該当します。評価の「ものさし」になる基本方針は、C の時点ではすでに存在している前提であり、ここで策定するものではありません。
不正解エ
A (Act = 見直し・改善) は、C で見つかった問題点に対して是正処置・予防処置を行い、ISMS を継続的に改善する段階です。ここで基本方針が「改訂」されることはあり得ますが、経営方針に基づいて新規に策定する最初の行為は A ではなく P に位置づけられます。
ここがポイント
- ISMS の PDCA の役割分担: P = 基本方針の策定・適用範囲の決定・リスクアセスメントと管理策の選択、D = 導入と運用 (教育・対策の実施)、C = 内部監査やマネジメントレビューによる点検、A = 是正処置による継続的改善。
- 情報セキュリティ基本方針 (ポリシー) は経営方針と整合させて経営層が定めるもので、ISMS 構築の出発点。策定は計画段階 (P)、改訂は改善段階 (A) と、フェーズを区別して覚える。
用語