問80
頻出度★★★
ISMS適合性評価制度において, 組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと b 組織が情報資産を適切に管理し, それを守るための取組みを行っていること c 組織が提供する暗号モジュールには, 暗号化機能, 署名機能が適切に実装されていること
平成29年度 秋期 ITパスポート試験 問80
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 80
不正解ア
aだけを挙げていますが誤りです。ISMS認証はマネジメントの仕組みが適切であることを保証するもので、Webサイトを構成するシステムに脆弱性が「一つも無いこと」までは保証しません。技術的な脆弱性の有無は認証範囲外です。
- イ
正解 ISMS適合性評価制度は、組織が情報セキュリティマネジメントシステム（ISMS）を構築・運用し、情報資産を適切に管理してそれを守る取組みを継続的に行える「仕組み」が整っていることを第三者が認証する制度です。したがって認証取得から判断できるのは、選択肢bの「組織が情報資産を適切に管理し、それを守るための取組みを行っていること」だけです。よって、bだけを挙げた「イ」が正解です。
不正解ウ
bとcを挙げていますが、cが誤りのため不適切です。cの「暗号モジュールに暗号化機能・署名機能が適切に実装されていること」は暗号モジュール試験及び認証制度（JCMVP）が扱う内容で、ISMS認証の判断対象ではありません。
不正解エ
cだけを挙げていますが誤りです。cは暗号モジュール自体の実装の適切さに関する評価（JCMVPの領域）であり、ISMS認証取得の事実から判断できる事項ではありません。
ここがポイント
- ISMS認証は情報セキュリティを守る「マネジメントの仕組み（PDCA）」が適切に構築・運用されていることを認証するもので、システムに脆弱性が皆無であることや個別製品の実装の正しさを保証するものではない。
- 暗号モジュールの機能実装の適切さはJCMVP（暗号モジュール試験及び認証制度）が扱う領域であり、ISMSの認証対象とは区別して理解する。
用語