マネジメントレビューとは？

マネジメントレビューの意味

トップマネジメントが定期的にISMSの適切性・妥当性・有効性を評価し、必要な改善を指示する活動。内部監査の結果やリスクアセスメントの状況などをインプットとして実施される。

マネジメントレビューの具体例

年に一度、経営陣が内部監査結果やインシデント発生状況の報告を受け、次年度のセキュリティ投資方針や体制の見直しを指示する。

マネジメントレビューは試験でどう引っ掛けられる？

内部監査と取り違えやすい。内部監査は監査員が「規程どおり運用されているか」を調べる活動、マネジメントレビューはトップマネジメントが「ISMSそのものが有効か」を評価して改善を指示する活動。順序は監査→マネジメントレビューで、監査結果はレビューへのインプットになる。

マネジメントレビューと関連する用語

• 内部監査
• 是正処置
• トップマネジメントのリーダーシップ

マネジメントレビューが出た過去問

• ITサービスマネジメントにおいて，SMS（サービスマネジメントシステム）の効果的な計画立案，運用及び管理を確実にするために，SLAやサービスカタログを文書化し，…

  正解：サービス提供者

  要点：SLAやサービスカタログの文書維持はサービス提供者の責任

  SMSの計画・運用・管理を確実にする責任は、サービスを提供する側にある。JIS Q 20000ではサービス提供者に対し、SLAやサービスカタログなどの文書を作成し、維持することを求めている。顧客は合意の相手方、利用者はサービスの受け手であり、文書の維持責任を負う立場ではない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問41（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…

  正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

  要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する

  JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）