問91
頻出度★★★
ISMS適合性評価制度に関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 企業などの組織において，[ a ] マネジメントシステムが適切に構築，運用され，ISMS 認証基準の要求事項に適合していることを [ b ] が審査して認証する制度である。
平成28年度 春期 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 91ISMS＝情報セキュリティマネジメントシステム
不正解ア
a が「個人情報保護」で誤り。個人情報保護マネジメントシステムを審査するのはプライバシーマーク制度（PMS）であり、ISMS ではない。b の「組織内の監査を行う部署」も誤りで、社内部署による内部監査は自己適合の確認に過ぎず、対外的な「認証」にはならない。
不正解イ
b の「特定の第三者機関」は正しいが、a が「個人情報保護」で誤り。ISMS は個人情報に限らず組織の情報資産全般の機密性・完全性・可用性を守る「情報セキュリティ」を対象とする。個人情報保護を主対象とするのはプライバシーマーク制度である。
不正解ウ
a の「情報セキュリティ」は正しいが、b が「組織内の監査を行う部署」で誤り。ISMS 適合性評価制度は独立した第三者による認証制度であり、組織内部の監査部署が自組織を「認証」することはできない。認証は利害関係のない外部の認証機関が行う。
- エ
正解 ISMS は「情報セキュリティマネジメントシステム（Information Security Management System）」の略で、a には「情報セキュリティ」が入る。ISMS 適合性評価制度は、組織が構築・運用する情報セキュリティマネジメントシステムが ISMS 認証基準（JIS Q 27001 など）の要求事項に適合していることを、当事者とは利害関係のない「特定の第三者機関（認証機関）」が客観的に審査して認証する第三者認証の仕組みである。よって b には「特定の第三者機関」が入り、正解は a:情報セキュリティ／b:特定の第三者機関 の組合せ「エ」となる。
ここがポイント
- ISMS＝情報セキュリティマネジメントシステム。ISMS 適合性評価制度は組織の情報セキュリティ管理が ISMS 認証基準（JIS Q 27001）に適合していることを保証する第三者認証制度。
- 認証は組織内部ではなく、利害関係のない「特定の第三者機関（認証機関）」が客観的に審査・認証する点が要点。個人情報保護を対象とするプライバシーマーク制度との区別も押さえる。
用語