問80
頻出度★★★
ISMS適合性評価制度において, 組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと b 組織が情報資産を適切に管理し, それを守るための取組みを行っていること c 組織が提供する暗号モジュールには, 暗号化機能, 署名機能が適切に実装されていること
平成29年度 秋期 ITパスポート試験 問80
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 80
错误ア
只列出了a, 是错误的。ISMS认证保证的是管理机制是否恰当, 并不保证构成Web网站的系统「一个漏洞都没有」。是否存在技术层面的漏洞不在认证范围之内。
- イ
正解 ISMS符合性评估制度是这样一种制度: 由第三方认证组织是否已经具备了能够建立并运行信息安全管理体系（ISMS）、恰当地管理信息资产并持续开展保护工作的「机制」。因此, 仅凭取得认证这一事实能够判断的, 只有选项b「组织恰当地管理信息资产, 并开展了保护信息资产的工作」这一项。所以, 仅列出b的「イ」为正确答案。
错误ウ
列出了b和c, 但因c有误而不合适。c所述「加密模块中恰当地实现了加密功能和签名功能」属于加密模块测试及认证制度（JCMVP）所处理的内容, 不是ISMS认证的判断对象。
错误エ
只列出了c, 是错误的。c涉及的是加密模块本身实现是否恰当的评估（属于JCMVP的领域）, 并不是从取得ISMS认证这一事实能够判断的事项。
ここがポイント
- ISMS认证所认证的是保护信息安全的「管理机制（PDCA）」是否被恰当地建立和运行, 并不保证系统毫无漏洞, 也不保证单个产品的实现正确无误。
- 加密模块功能实现是否恰当属于JCMVP（加密模块测试及认证制度）所处理的领域, 应与ISMS的认证对象区分开来理解。
用語