問81
頻出度★★★
組織の活動に関する記述a～dのうち，ISMSの特徴として，適切なものだけを全て挙げたものはどれか。 a 一過性の活動でなく改善と活動を継続する。 b 現場が主導するボトムアップ活動である。 c 導入及び活動は経営層を頂点とした組織的な取組みである。 d 目標と期限を定めて活動し，目標達成によって終了する。
平成27年度 春期 ITパスポート試験 問81
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 81
不正解ア
a は正しいが、b が誤り。ISMS は現場が主導するボトムアップ活動ではなく、経営層が方針を定めて組織全体へ展開するトップダウンの活動である。現場の運用は不可欠だが、主導するのは経営層であり、b を含む「ア」は不適切。
- イ
正解 正解は「イ」(a, c)。ISMS (情報セキュリティマネジメントシステム) は、組織の情報資産を守るための「仕組み」を作って回し続ける活動であり、計画 (Plan)・実行 (Do)・点検 (Check)・改善 (Act) の PDCA サイクルを繰り返して継続的改善を図る。したがって「一過性の活動でなく改善と活動を継続する」とした a は ISMS の特徴として適切である。また ISMS は、経営層が情報セキュリティポリシー (基本方針) を定めて表明し、必要な資源を割り当てたうえで組織全体に展開するトップダウンの取組みであるため、「導入及び活動は経営層を頂点とした組織的な取組みである」とした c も適切である。適切なものは a と c だけなので、これらを過不足なく挙げた「イ」が正解となる。
不正解ウ
b も d も ISMS の特徴ではない。b は前述のとおり主導者が逆 (本来はトップダウン)、d は「目標達成によって終了する」点が誤りで、ISMS は終了のない継続的な運用・改善を前提とした仕組みである。適切な記述を一つも含まないため誤り。
不正解エ
c は正しいが、d が誤り。期限を区切って目標達成で終わるのはプロジェクト型の活動の性質であり、ISMS は PDCA を回して継続する常設のマネジメントシステムである。脅威や事業環境は変化し続けるため、一度目標を満たしても運用と見直しを続ける必要がある。
ここがポイント
- ISMS は PDCA サイクル (計画・実行・点検・改善) を繰り返す継続的改善の仕組みであり、期限付きで終了する一過性の活動ではない。
- ISMS は経営層が情報セキュリティポリシーを策定・表明して主導するトップダウンの組織的取組みであり、現場主導のボトムアップ活動ではない。
用語