情報セキュリティに係るリスクマネジメントが効果的に実施されるよう、リスクアセスメントに基づいた適切なコントロールの整備、運用状況を検証又は評価し、保証又は助言を与えるものであり、実施者に独立かつ専門的な立場が求められるものはどれか。

選択肢

• アコントロールセルフアセスメント（CSA）
• イ情報セキュリティ監査
• ウ情報セキュリティ対策ベンチマーク
• エディジタルフォレンジックス

正解と解説

正解：イ 情報セキュリティ監査

独立かつ専門的な立場の実施者が、情報セキュリティのコントロールの整備状況・運用状況を検証・評価し、保証または助言を与える活動は情報セキュリティ監査である。独立性が要件となる点が、自己点検型の手法と決定的に異なる。

選択肢ごとの解説

• アCSAは業務担当者自身がコントロールを点検する自己評価手法であり、実施者の独立性は前提としない。
• イ正しい。独立した立場から保証・助言を行うのが情報セキュリティ監査である。
• ウ情報セキュリティ対策ベンチマークは、自己診断して他組織と比較するIPA提供のツールである。
• エディジタルフォレンジックスはインシデント発生後に証拠を保全・分析する技術であり、コントロールの評価活動ではない。

同じ分野の他の問題

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問1
• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリ…2019年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2018年度 秋期 午前 問37
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38