ISMSの実施順序は何から始まるのか
ITパスポート試験 令和2年度10月 問69 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSの確立，実施，維持及び継続的改善における次の実施項目のうち，最初に行うものはどれか。
- ア
情報セキュリティリスクアセスメント
- イ
情報セキュリティリスク対応
- ウ
内部監査
- エ
利害関係者のニーズと期待の理解
会話形式の解説
講師この問題は、ISMSの実施項目を重要度ではなく、行う順序で考えます。
受験者情報セキュリティのリスクには早く対応したいので、リスク対応が最初だと思いました。
講師対応を決める前に、まず利害関係者のニーズと期待を理解し、考慮すべき要求を把握します。
受験者利害関係者の要求を確認するところから始めるのですね。その次は何をしますか。
講師その要求を踏まえて、ISMSの適用範囲を定めます。
受験者リスクアセスメントは、要求を把握した後に行うのですね。
講師はい。リスクアセスメントでは、リスクを特定・分析・評価します。その結果を踏まえてリスク対応を行います。
受験者評価の結果が出る前には、対応を決められませんね。内部監査はどの段階ですか。
講師内部監査はISMSの運用後に行い、適合性や有効性を確認します。したがって、最初には当たりません。
受験者四つの中では、利害関係者のニーズと期待の理解が最初です。リスク評価、対応、内部監査はその後ですね。
講師その理解で正しいです。「リスク対応は重要だから最初」と考えず、各項目の前に何が必要かを確かめましょう。
まとめ
ISMSの実施項目のうち、最初に行うのは利害関係者のニーズと期待の理解です。考慮すべき要求を把握してから、ISMSの適用範囲を定めます。その後、リスクを特定・分析・評価し、結果を踏まえて対応します。内部監査は運用後に、適合性や有効性を確認するために行います。
解答・解説
正解はエです
この問題のテーマ
ISMSを確立し、運用・改善していく際に、各実施項目をどの順序で行うかを問う問題です。
解き方の考え方
まず、ISMSで考慮すべき利害関係者のニーズや期待を把握します。それを踏まえて適用範囲を定め、リスクを評価し、評価結果に応じて対応します。内部監査は運用後に行うため、四つの中で最初なのはエです。
選択肢ごとの解説
- ×ア 情報セキュリティリスクアセスメント情報セキュリティリスクアセスメントでは、リスクを特定・分析・評価します。利害関係者の要求を把握した後に行うため、最初の項目ではありません。
- ×イ 情報セキュリティリスク対応情報セキュリティリスク対応は、アセスメントの結果を踏まえて行います。評価より先に対応を決めることはできないため、最初の項目ではありません。
- ×ウ 内部監査内部監査では、運用したISMSの適合性や有効性を確認します。運用後に行う項目なので、最初には当たりません。
- ○エ 利害関係者のニーズと期待の理解利害関係者のニーズと期待を理解し、考慮すべき要求を把握します。その後に適用範囲を定めるため、ほかの三項目より先に行います。
補足
「リスクへの対応が重要だから最初」と考えないようにしましょう。設問は重要度ではなく、実施する順序を尋ねています。
POINT
- ISMSでは、まず利害関係者のニーズと期待を理解します。
- 利害関係者の要求を把握してから、ISMSの適用範囲を定めます。
- リスクアセスメントではリスクを特定・分析・評価し、その結果を踏まえてリスク対応を行います。
- 内部監査はISMSの運用後に行い、適合性や有効性を確認します。