情報セキュリティ目的の達成計画で決める5項目を確認する
情報セキュリティマネジメント試験 平成31年度春期 午前 問8 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27001:2014（情報セキュリティマネジメントシステムー要求事項）において、情報セキュリティ目的をどのように達成するかについて計画するとき、“実施事項”、“責任者”、“達成期限”のほかに、決定しなければならない事項として定められているものはどれか。
- ア
“必要な資源”及び“結果の評価方法”
- イ
“必要な資源”及び“適用する管理策”
- ウ
“必要なプロセス”及び“結果の評価方法”
- エ
“必要なプロセス”及び“適用する管理策”
会話形式の解説
講師今回は、情報セキュリティ目的を達成する計画を立てるとき、何を決めるかを選ぶ問題です。問題文には3つの項目がすでに出ているので、JIS Q 27001の6.2が挙げる残りの項目を答えます。
受験者選択肢には「資源」「プロセス」「評価方法」「管理策」が出てきます。どれもISMSに関係がありそうで、私は「適用する管理策」も計画に入りそうだと思いました。
講師迷うのは当然です。まず全体を押さえましょう。規格が達成計画で決めるよう求めているのは、実施事項、必要な資源、責任者、達成期限、結果の評価方法の5つです。
受験者問題文に出ているのは実施事項、責任者、達成期限なので、残りは「必要な資源」と「結果の評価方法」ですね。
講師そのとおりです。「何を・何を使って・誰が・いつまでに・どう評価するか」と言い換えると、計画の要素がそろうことが分かります。
受験者「必要なプロセス」と「結果の評価方法」の組合せも、計画としては自然に見えます。どこが違うのでしょうか。
講師規格が挙げているのは「プロセス」ではなく「資源」です。資源とプロセスを入れ替えた引っかけなので、評価方法が合っていても、その組合せは正解になりません。
受験者では「適用する管理策」はどうでしょう。管理策もISMSの中心だと思うのですが。
講師管理策、つまりリスクを下げるための具体的な対策は、リスクアセスメントの結果を受けて行うリスク対応の中で選ぶものです。目的達成計画の5項目には入りません。資源と管理策の組合せは半分だけ正しく、評価方法も抜けています。
受験者プロセスと管理策の組合せは、どちらも5項目に入っていないので誤りですね。規格の別の箇所に出てくる言葉が混ぜてあるわけですか。
講師そうです。選択肢に「プロセス」や「管理策」のような規格の別の用語が混ざっていたら、引っかけを疑うとよいです。
受験者整理すると、目的達成計画は実施事項、必要な資源、責任者、達成期限、結果の評価方法の5つで、管理策はリスク対応で決める、ということですね。
講師はい。補足すると、情報セキュリティ目的はISMSで達成しようとする結果で、トップマネジメントが情報セキュリティ方針とあわせて確立します。目的を立て、それを実行に移す計画として5項目を決める、という流れで覚えましょう。なお、規格はJIS Q 27001:2023に改正されていますが、この5項目は変わっていないので、正解も同じです。
まとめ
JIS Q 27001の6.2では、情報セキュリティ目的を達成する計画として、実施事項、必要な資源、責任者、達成期限、結果の評価方法の5つを決めるよう求めています。問題文に示された3つを除くと、残りは「必要な資源」と「結果の評価方法」です。「必要なプロセス」は資源と入れ替えた引っかけで、「適用する管理策」はリスク対応の中で決める事項なので、どちらも5項目に入りません。「何を・何を使って・誰が・いつまでに・どう評価するか」と覚えると整理しやすくなります。
解答・解説
正解はアです
この問題のテーマ
情報セキュリティ目的（ISMSで達成したい目標）を実現する計画を立てるとき、実施事項・責任者・達成期限のほかに何を決めるかを選ぶ問題です。根拠はJIS Q 27001:2014の6.2です。
解き方の考え方
最初に、問題文に書かれている項目を確かめます。実施事項、責任者、達成期限の3つです。次に、規格が達成計画で決めるよう求める5項目（実施事項、必要な資源、責任者、達成期限、結果の評価方法）と照らします。すると、残りは「必要な資源」と「結果の評価方法」だとわかります。最後に、この2つがそろった選択肢を選びます。「必要なプロセス」や「適用する管理策」は5項目に入っていないので、含む肢は外します。
選択肢ごとの解説
- ○ア “必要な資源”及び“結果の評価方法”「必要な資源」と「結果の評価方法」を挙げる肢です。規格が求める5項目のうち、問題文にない残りの2つがこの2つです。何を・何を使って・誰が・いつまでに・どう評価するか、という計画の要素がそろいます。したがって正しい肢です。
- ×イ “必要な資源”及び“適用する管理策”「必要な資源」と「適用する管理策」を挙げる肢です。「必要な資源」は5項目に入ります。しかし「適用する管理策」は、目的の達成計画ではなく、リスクアセスメントの結果を受けたリスク対応の中で選ぶものです。また「結果の評価方法」も抜けています。したがって誤りです。
- ×ウ “必要なプロセス”及び“結果の評価方法”「必要なプロセス」と「結果の評価方法」を挙げる肢です。「結果の評価方法」は5項目に入ります。しかし「必要なプロセス」は規格が挙げる項目ではなく、正しくは「必要な資源」です。したがって誤りです。
- ×エ “必要なプロセス”及び“適用する管理策”「必要なプロセス」と「適用する管理策」を挙げる肢です。どちらも規格の別の箇所に出てくる言葉ですが、目的の達成計画で決める5項目には含まれません。「必要な資源」も「結果の評価方法」も入っていないので、誤りです。
補足
情報セキュリティ目的は、ISMSで達成しようとする結果を示すもので、トップマネジメントが情報セキュリティ方針とあわせて確立します。目的を立てるだけでは足りず、それを実行に移す計画として5項目を決める、という流れで理解すると記憶に残りやすくなります。
※この問題が前提とするJIS Q 27001:2014は、ISO/IEC 27001:2022に対応するJIS Q 27001:2023に改正されています。現行版でも、情報セキュリティ目的の達成計画で決める5項目（実施事項、必要な資源、責任者、達成期限、結果の評価方法）は変わっていないため、この問題の正解は今の規格でも同じです。
POINT
- 情報セキュリティ目的の達成計画では、実施事項、必要な資源、責任者、達成期限、結果の評価方法の5つを決めます。
- 5項目は「何を・何を使って・誰が・いつまでに・どう評価するか」と言い換えると覚えやすくなります。
- 「適用する管理策」は、目的達成計画ではなくリスク対応の中で決める事項です。
- 「プロセス」や「管理策」は規格中の別の用語なので、達成計画の5項目とは分けて覚えましょう。