管理策とは？

管理策の意味

リスクを低減するために実施する具体的な対策。技術的対策（アクセス制御など）、組織的対策（規程整備など）、人的対策（教育など）、物理的対策（入退室管理など）に大別される。

管理策の具体例

「重要書類を施錠保管する」は物理的管理策、「アクセス権限を職務に応じて設定する」は技術的・組織的管理策、「セキュリティ研修を実施する」は人的管理策にあたる。

管理策は試験でどう引っ掛けられる？

管理策はリスク対応を実現する手段であって、リスク対応の選択肢（低減・回避・移転・受容）そのものではない。またJIS Q 27001附属書Aの管理策は候補の一覧であり、全部を実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよい。

管理策と関連する用語

• 適用宣言書
• リスク対応（低減・回避・移転・受容）

管理策が出た過去問

• JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。

  正解：監査プログラムには前回までの監査結果を考慮しなければならない。

  要点：内部監査は前回結果を考慮して監査計画を立てる

  JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）

• スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。

  正解：スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。

  要点：スプレッドシートのロジック変更は承認と履歴管理が要る

  スプレッドシートは利用者が自由に数式を書き換えられるため、変更管理が効かないと計算結果の正確性を担保できない。業務上の必要があっても、承認や記録を経ずに随時ロジックを変更して上書き保存する運用は、統制が働いておらず指摘事項となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問37（IPA）

• 入出金管理システムから出力された入金データファイルを，売掛金管理システムが読み込んでマスタファイルを更新する。入出金管理システムから売掛金管理システムへ受け渡さ…

  正解：入金額及び入金データ件数のコントロールトータルのチェック

  要点：システム間の受渡しは金額と件数の合計照合で網羅性を確保する

  システム間でデータを受け渡すときは、金額の合計や件数といったコントロールトータルを送信側と受信側の双方で集計し、一致を確認する。これにより、データの欠落や重複、値の破損がないこと、すなわち網羅性と正確性を担保できる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• システム監査基準（平成16年）における，組織体がシステム監査を実施する目的はどれか。

  正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。

  要点：システム監査はコントロールを評価しITガバナンスに寄与する

  システム監査は、情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを独立した立場で評価し、問題があれば改善につなげることを目的とする。これによりITガバナンスの実現に寄与する。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 特権ID（システムの設定、データの操作、それらの権限の設定が可能なID）の不正使用を発見するコントロールとして、最も有効なものはどれか。

  正解：特権IDの貸出し及び返却の管理簿と、特権IDの利用ログを照合する。

  要点：発見的統制の要は貸出記録と実利用ログの突合

  「発見するコントロール」を問うている点が要点である。貸出し・返却の記録と実際の利用ログを突き合わせれば、許可されていない時間帯や人物による特権IDの使用を事後に検出できる。他の選択肢は不正の機会を減らす予防的なコントロールであり、発見には直接つながらない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問36（IPA）