重要度：A 論点：ISMSの目的
問11：ISMSは、情報セキュリティリスクを組織的に管理するために、方針、プロセス、責任及び管理策を継続的に運用・改善する仕組みである。
解答を見る
○：ISMSは、個別の製品や対策だけで安全を確保する考え方ではなく、組織の状況とリスクに応じて情報セキュリティを確立、実施、維持及び継続的に改善するマネジメントの仕組みである。
重要度：A 論点：JIS Q 27001
問12：JIS Q 27001は、情報セキュリティ管理策の具体例だけを示す参考文書であり、ISMSが満たすべき要求事項は規定していない。
解答を見る
×：JIS Q 27001は、ISMSを確立、実施、維持及び継続的に改善するための要求事項を示す規格である。管理策に関する実践の手引としてはJIS Q 27002が位置付けられる。
重要度：B 論点：JIS Q 27002
問13：JIS Q 27002は、情報セキュリティ管理策に関する実践の手引を示す規格であり、組織は自らのリスクに応じて管理策を検討する。
解答を見る
○：JIS Q 27002は管理策の考え方や実施に関する手引を提供する。全ての管理策を機械的に導入するのではなく、組織の状況とリスクに応じて適切な管理策を選択・運用することが重要である。
重要度：B 論点：内部監査の実施時期
問14：ISMSの内部監査は、重大な情報セキュリティインシデントが発生した場合にだけ実施すればよい。
解答を見る
×：内部監査は、あらかじめ計画した間隔で、ISMSが組織の要求事項や規格要求事項に適合し、有効に実施・維持されているかを確認する。事故発生時だけに限定されない。
重要度：B 論点：マネジメントレビュー
問15：マネジメントレビューでは、経営陣がISMSの適切性、妥当性及び有効性を確認し、必要な変更や改善を判断する。
解答を見る
○：マネジメントレビューは経営陣による評価であり、監査結果、目標の達成状況、利害関係者の変化、リスクや改善機会などを踏まえて、ISMSの方向性や改善を判断する。
コメント