JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項としている組合せとして、適切なものはどれか。

選択肢

• ア前回までのマネジメントレビューの結果とった処置の状況／トップマネジメントが設定した情報セキュリティ目的／内部監査の結果
• イ前回までのマネジメントレビューの結果とった処置の状況／トップマネジメントが設定した情報セキュリティ目的／発生した不適合及び是正処置の状況
• ウ前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況
• エトップマネジメントが設定した情報セキュリティ目的／内部監査の結果／発生した不適合及び是正処置の状況

正解と解説

正解：ウ 前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

選択肢ごとの解説

• ア三つ目までは規格どおりだが、目的をトップマネジメントが設定したものに限定している点が規格の要求と食い違う。
• イ同じく、目的の設定主体をトップマネジメントに限定している点が誤り。
• ウ正しい。いずれも9.3が考慮事項として明記している項目の組合せである。
• エ前回のレビューでとった処置の状況が抜けており、代わりに主体を限定した目的が入っている。

同じ分野の他の問題

• JIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）において、不適合が発生した場合にその原因を…2022年度 公開問題 科目A・B 問3
• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を…2019年度 秋期 午前 問5
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、情報セキュリティ目的をどのよ…2019年度 春期 午前 問8
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応…2018年度 秋期 午前 問6
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における，トップマネジメントに関する記述と…2018年度 秋期 午前 問2