令和2年度 ITパスポート試験問69

この問題の解説と、これまでの解答の記録です。

問69

頻出度★★★

ISMS の確立, 実施, 維持及び継続的改善における次の実施項目のうち, 最初に行うものはどれか。

出典　令和2年度 ITパスポート試験問69

解説

問 69

不正解ア
情報セキュリティリスクアセスメントは箇条6「計画」で行う活動で、利害関係者のニーズ把握や適用範囲の確定を前提とする。土台が整った後の段階なので最初ではない。
不正解イ
情報セキュリティリスク対応は、リスクアセスメント(ア)で洗い出し評価したリスクを受けて実施する。アより後の段階であり、最初に行うものではない。
不正解ウ
内部監査は箇条9「パフォーマンス評価」に位置し、ISMS を実際に運用した後にその有効性や適合性を確認するために行う。PDCA でいう Check にあたる後半の活動で、最初ではない。
エ
正解正解はエ「利害関係者のニーズと期待の理解」。ISMS を定めた JIS Q 27001 (ISO/IEC 27001) では、まず箇条4「組織及びその状況の理解」の中の 4.2『利害関係者のニーズ及び期待の理解』で、組織を取り巻く関係者(顧客・取引先・従業員・監督官庁など)が情報セキュリティに何を求めているかを把握する。これによって ISMS の適用範囲や満たすべき要求事項が決まり、以降のリスクアセスメント・リスク対応・運用・内部監査といった活動の土台になる。したがって選択肢の中で最初に行うのはエである。

ここがポイント

ISMS (JIS Q 27001) の実施順序: 利害関係者のニーズ理解 → 適用範囲決定 → リスクアセスメント → リスク対応 → 運用 → 内部監査 → 継続的改善。組織の状況把握が全ての起点になる。
リスクアセスメントやリスク対応は「計画」段階、内部監査は「評価」段階の活動であり、それぞれ前提となる作業を終えてから実施する点を押さえる。

用語

解答問69エ