情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。

選択肢

• ア“ガバナンス基準”，“管理策基準”及び“マネジメント基準”の三つの基準で構成されている。
• イJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。
• ウ情報セキュリティ対策は，“管理策基準”に挙げられた管理策の中から選択することとしている。
• エトップマネジメントは，“マネジメント基準”に挙げられている事項の中から，自組織に合致する事項を選択して実施することとしている。

正解と解説

正解：イ JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）及びJIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）との整合性をとっている。

情報セキュリティ管理基準は、JIS Q 27001とJIS Q 27002の内容を踏まえて作られており、これらの規格と整合するよう構成されています。全体は組織のISMS確立・運用に関するマネジメント基準と、具体的な対策を示す管理策基準の二つからなります。マネジメント基準の事項は選択制ではなく実施すべきもので、逆に管理策は必要に応じて基準に載っていないものを追加してもかまいません。

選択肢ごとの解説

• ア構成はマネジメント基準と管理策基準の二つで、ガバナンス基準という区分は含まれていません。
• イ正解。JIS Q 27001及びJIS Q 27002との整合性がとられています。
• ウ管理策基準は選択肢の一覧であって、必要であれば記載外の対策を追加することもできます。
• エマネジメント基準の事項は自組織に合うものだけを選ぶのではなく、実施すべきものとされています。

同じ分野の他の問題

• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリ…2019年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2018年度 秋期 午前 問37
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識…2017年度 春期 午前 問11