情報セキュリティ管理基準は何で構成され、どの規格と整合するのか
情報セキュリティマネジメント試験 令和5年度 問1 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報セキュリティ管理基準（平成28 年）に関する記述のうち，適切なものはどれか。
- ア
“ガバナンス基準”、“管理策基準”及び“マネジメント基準”の三つの基準で構成されている。
- イ
JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)及びJIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)との整合性をとっている。
- ウ
情報セキュリティ対策は,“管理策基準”に挙げられた管理策の中から選択することとしている。
- エ
トップマネジメントは,“マネジメント基準”に挙げられている事項の中から,自組織に合致する事項を選択して実施することとしている。
会話形式の解説
講師今回は経済産業省の情報セキュリティ管理基準、平成28年版の問題です。見るべき点は二つあります。この基準がいくつの基準で構成されているか、そしてそれぞれの基準を「全部実施する」のか「選んで実施する」のか、です。
受験者「ガバナンス基準」という言葉もそれらしく聞こえたので、三つの基準で構成されているという記述で迷いました。
講師そこは引っかけです。平成28年版の構成は「マネジメント基準」と「管理策基準」の二つだけで、ガバナンス基準は含まれていません。なので、三つの基準で構成されるという記述は誤りです。
受験者では、二つの基準はそれぞれ何を基にしているのですか。JIS Q 27001とJIS Q 27002との整合をとっているという記述が正解に見えます。
講師その通りで、それが正解です。マネジメント基準はJIS Q 27001、つまり情報セキュリティマネジメントシステムの要求事項を基に、PDCAを回すために必要な実施事項を定めています。管理策基準はJIS Q 27001の附属書AとJIS Q 27002を基にしています。
受験者残りの二つは、どちらも何かを「選択する」という記述でした。管理策基準の中から対策を選ぶという記述は正しそうに思えたのですが、どこが誤りなのでしょうか。
講師誤りの核心は、管理策基準の中から「だけ」選ぶように限定している点です。管理策基準は必ず従う一覧ではなく、管理策の例示です。リスクに応じて、基準に載っていない管理策を追加で採用することもできます。
受験者選ぶこと自体は合っていても、選べる範囲を基準の中に閉じ込めているのが誤り、ということですね。
講師はい。もう一つの、トップマネジメントがマネジメント基準の事項から自組織に合うものを選んで実施するという記述はどうですか。
受験者マネジメント基準はPDCAの仕組みなので、選んで一部だけ実施するものではない、という理解で合っていますか。
講師合っています。マネジメント基準は原則としてすべて実施するもので、除外したり取捨選択したりはできません。リスクに応じて選ぶのは、主に管理策のほうです。
受験者まとめると、構成は二つで、JIS Q 27001とJIS Q 27002に整合している。マネジメント基準は原則すべて実施し、管理策基準は例示なので、選択に加えて基準外の管理策を足すこともできる、ということですね。
講師よく整理できています。マネジメント基準は「仕組みそのもの」、管理策基準は「対策のカタログ」と覚えると、選ぶ対象や範囲を入れ替えた記述にだまされにくくなります。なお、この問題は平成28年版について問うものです。最新の構成や整合先の規格は、経済産業省が公表している現行版で確認してください。
まとめ
情報セキュリティ管理基準（平成28年版）は、「マネジメント基準」と「管理策基準」の二つで構成されており、ガバナンス基準は含まれません。この基準はJIS Q 27001:2014とJIS Q 27002:2014に整合しています。マネジメント基準はJIS Q 27001を基にしたPDCAの実施事項で、原則としてすべて実施します。管理策基準はJIS Q 27001附属書AとJIS Q 27002を基にした管理策の例示です。リスク対応の方針に沿って選び、必要なら基準外の管理策も追加できます。
解答・解説
正解はイです
この問題のテーマ
経済産業省の情報セキュリティ管理基準（平成28年版）が、どの基準で構成され、どの規格と整合しているかを問う問題です。選択肢ウ・エでは、管理策基準とマネジメント基準の使い方の違いも問われています。
解き方の考え方
まず、平成28年版は「マネジメント基準」と「管理策基準」の二つで構成されている、という骨格を思い出します。次に、それぞれの性格を整理します。マネジメント基準はPDCAを回す仕組みで、原則としてすべて実施します。管理策基準は、リスク対応の方針に沿って管理策を選ぶときの例示です。この整理と照らし合わせると、構成を誤っているア、選び方を取り違えているウとエが外れ、規格との整合を述べたイが残ります。
選択肢ごとの解説
- ×ア “ガバナンス基準”、“管理策基準”及び“マネジメント基準”の三つの基準で構成されている。三つの基準で構成されるという説明は誤りです。平成28年版の構成は「マネジメント基準」と「管理策基準」の二つで、「ガバナンス基準」は構成要素に含まれていません。
- ○イ JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)及びJIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)との整合性をとっている。JIS Q 27001:2014およびJIS Q 27002:2014との整合をとっているという説明は正しく、これが正解です。マネジメント基準はJIS Q 27001を基にPDCAに必要な実施事項を定めています。管理策基準はJIS Q 27001の附属書AとJIS Q 27002を基にしています。
- ×ウ 情報セキュリティ対策は,“管理策基準”に挙げられた管理策の中から選択することとしている。対策を管理策基準の中から選ぶとする説明は、選べる範囲を狭く捉えすぎています。管理策基準はあくまで管理策の例示です。リスクに応じて、基準に載っていない管理策を追加で採用することもできます。
- ×エ トップマネジメントは,“マネジメント基準”に挙げられている事項の中から,自組織に合致する事項を選択して実施することとしている。トップマネジメントがマネジメント基準の事項から自組織に合うものを選んで実施するという説明は誤りです。マネジメント基準は原則としてすべて実施するもので、除外したり取捨選択したりはできません。リスクに応じて選ぶ対象は、主に管理策のほうです。
補足
二つの基準は、次のように対応づけて覚えると混同しにくくなります。マネジメント基準は「仕組みそのもの」なので原則すべて実施し、管理策基準は「対策のカタログ」なのでリスクに応じて選びます。この対応を押さえておけば、ウやエのように「選ぶ」対象や範囲を入れ替えた記述も見分けられます。
※出題後、JIS Q 27001・JIS Q 27002は国際規格の改訂に合わせて改正されており、情報セキュリティ管理基準も改訂版が公表されています。この問題は平成28年版について問うものなので、解説も平成28年版の内容に基づいています。最新の構成や整合先の規格は、経済産業省が公表している現行版で確認してください。
POINT
- 情報セキュリティ管理基準（平成28年版）は、マネジメント基準と管理策基準の二つで構成されています。
- 平成28年版は、JIS Q 27001:2014とJIS Q 27002:2014に整合しています。
- マネジメント基準はJIS Q 27001を基にしたPDCAの実施事項で、原則としてすべて実施します。
- 管理策基準は管理策の例示であり、リスク対応の方針に従って選択し、必要なら基準外の管理策も追加します。