問91
頻出度★★★
ISMS適合性評価制度に関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 企業などの組織において，[ a ] マネジメントシステムが適切に構築，運用され，ISMS 認証基準の要求事項に適合していることを [ b ] が審査して認証する制度である。
平成28年度 春期 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 91ISMS＝信息安全管理体系
错误ア
a 填「个人信息保护」是错误的。审查个人信息保护管理体系的是隐私标志制度（PMS），而不是 ISMS。b 填「组织内部负责审计的部门」也是错误的，公司内部部门进行的内部审计只是对自身合规情况的确认，无法构成对外的「认证」。
错误イ
b 填「特定的第三方机构」是正确的，但 a 填「个人信息保护」是错误的。ISMS 的对象是「信息安全」，即保护组织信息资产整体的机密性、完整性、可用性，并不限于个人信息。以个人信息保护为主要对象的是隐私标志制度。
错误ウ
a 填「信息安全」是正确的，但 b 填「组织内部负责审计的部门」是错误的。ISMS 合规性评估制度是由独立的第三方进行的认证制度，组织内部的审计部门无法对本组织进行「认证」。认证应由无利害关系的外部认证机构来实施。
- エ
正解 ISMS 是「信息安全管理体系（Information Security Management System）」的缩写，因此 a 处应填入「信息安全」。ISMS 合规性评估制度是指：由与当事方无利害关系的「特定的第三方机构（认证机构）」，对组织所构建、运行的信息安全管理体系是否符合 ISMS 认证基准（如 JIS Q 27001）的要求事项进行客观审查并予以认证的第三方认证机制。因此 b 处应填入「特定的第三方机构」，正确答案是 a：信息安全／b：特定的第三方机构 的组合「エ」。
ここがポイント
- ISMS＝信息安全管理体系。ISMS 合规性评估制度是保证组织的信息安全管理符合 ISMS 认证基准（JIS Q 27001）的第三方认证制度。
- 要点在于：认证不是由组织内部进行，而是由无利害关系的「特定的第三方机构（认证机构）」进行客观的审查与认证。还要掌握它与以个人信息保护为对象的隐私标志制度之间的区别。
用語