問80
頻出度★★★
ISMSに関する記述のうち, 適切なものはどれか。
平成27年度 秋期 ITパスポート試験 問80
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 80
不正解ア
ISMS のマネジメントサイクルは PDCA による継続的な取り組みであり、平常時から回し続けるもの。セキュリティ事故が発生してから始まり収束したら終わる、という一過性の対応ではないため誤り。
不正解イ
ISMS は原則として組織全体（または明確に定めた適用範囲）を対象に、経営層の関与のもとで構築・運用する。「必ず部門ごとに行う」という限定は誤り。
- ウ
正解 ISMS（情報セキュリティマネジメントシステム）の出発点は、守るべき「情報資産」を洗い出して特定し、それぞれのリスクを評価したうえでリスク対応（低減・回避・移転・受容など）を決めることにある。「ウ」はこの本質そのものを述べており適切。ISMS は PDCA（計画→実行→点検→改善）を回して継続的に改善する仕組みで、その計画段階の中核が資産特定とリスクアセスメント・リスク対応の決定である。
不正解エ
情報セキュリティ方針（基本方針）は、経営層が示す組織全体の理念・目的・方向性を宣言する上位文書であり、具体的な対策そのものを記述するものではない。個別の具体策は下位の対策基準・実施手順で定めるため誤り。
ここがポイント
- ISMS の中核は「情報資産の特定 → リスクアセスメント → リスク対応の決定」であり、PDCA サイクルで継続的に改善する仕組みである。
- 情報セキュリティポリシーは階層構造（基本方針＝理念・方向性／対策基準・実施手順＝具体策）を持ち、方針そのものは具体的対策を記述しない。
用語