JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、情報セキュリティ目的をどのように達成するかについて計画するとき、"実施事項"、"責任者"、"達成期限"のほかに、決定しなければならない事項として定められているものはどれか。

選択肢

• ア"必要な資源"及び"結果の評価方法"
• イ"必要な資源"及び"適用する管理策"
• ウ"必要なプロセス"及び"結果の評価方法"
• エ"必要なプロセス"及び"適用する管理策"

正解と解説

正解：ア "必要な資源"及び"結果の評価方法"

JIS Q 27001の6.2は、情報セキュリティ目的の達成計画において、実施事項・必要な資源・責任者・達成期限・結果の評価方法の五つを決めるよう求めている。目的そのものは測定可能で監視され、伝達され、必要に応じて更新されることも要件となっている。管理策の選択はリスク対応（6.1.3）の話であり、この計画項目には含まれない。

選択肢ごとの解説

• ア正しい。6.2が求める残りの決定事項は必要な資源と結果の評価方法である。
• イ適用する管理策の決定はリスク対応のプロセスで扱う事項で、目的の計画項目ではない。
• ウ必要なプロセスという表現は6.2の要求事項にはない。
• エプロセスも管理策も、ここで決定を求められている項目ではない。

同じ分野の他の問題

• JIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）において、不適合が発生した場合にその原因を…2022年度 公開問題 科目A・B 問3
• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を…2019年度 秋期 午前 問5
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメ…2019年度 春期 午前 問1
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応…2018年度 秋期 午前 問6
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における，トップマネジメントに関する記述と…2018年度 秋期 午前 問2