重要度：A
問1：新設したクラウドサービス部門をISMSの対象に含めるか検討している。適用範囲の決定方法として、最も適切なものはどれか。
- A：認証の取得を容易にするため、他部門との依存関係は考慮せず対象を最小限にする
- B：法人単位でしか適用範囲を設定できないので、必ず全社を対象にする。
- C：業務、情報資産、外部委託、他部門との依存関係を踏まえて範囲を定める
- D：保有する情報システムの台数だけを基準にして、対象の範囲を機械的に定める
【第1問：正解と解説】
正解：C
・A
依存関係を無視した範囲は実態と乖離し、範囲外との境界でリスクの抜けを生む。
・B
ISMSは特定部門や拠点を適用範囲とすることもでき、必ず全社でなければならないわけではない。
・C
正しい。組織の状況、業務、情報資産、外部との関係、インタフェース及び依存関係を考慮して、管理可能で妥当な適用範囲を定める。
・D
台数は範囲を決める根拠にならない。業務・資産・依存関係という中身の検討が必要である。
重要度：A
問2：ISMSにおける経営陣の役割として、最も適切なものはどれか。
- A：方針と役割・資源を定め、ISMSを事業プロセスへ組み込むよう主導する
- B：情報セキュリティの責任を担当部門へ移し、経営陣は年次の結果報告の確認にとどめる。
- C：認証審査への対応を中心に、審査の前の時期に経営陣としてISMSの活動へ関与する
- D：ファイアウォールの設定変更など、個別の技術作業を経営陣が自ら実施する
【第2問：正解と解説】
正解：A
・A
正しい。経営陣は方針、責任、資源、事業との整合などを通じてISMSを主導し、有効性を確保する。
・B
業務を分担しても、経営陣のリーダーシップと説明責任がなくなるわけではない。
・C
審査の時期に偏った関与では、日常の運用に経営の意思が反映されない。
・D
個別の技術作業は担当部門の役割であり、経営陣の主導すべき統治の活動ではない。
重要度：B
問3：情報セキュリティ方針と実施手順の関係として、最も適切なものはどれか。
- A：方針には具体的な操作手順だけを記載し、実施手順には経営上の方向性だけを示す
- B：実施手順は方針や対策基準と整合させ、担当者が作業を再現できる内容にする。
- C：実施手順は現場ごとの判断で定め、上位の規程との整合は確認しなくてよい。
- D：方針を一度承認すれば、その後の手順の更新や旧版の管理は行わなくてよい。
【第3問：正解と解説】
正解：B
・A
方針は基本的な方向性を示すものであり、操作手順だけを記載する文書ではない。
・B
正しい。実施手順は上位の方針や対策基準を具体化し、担当者が一貫した方法で作業できるようにする。
・C
上位文書と矛盾する独自手順は、統制の不整合や事故につながる。
・D
環境やリスクは変化するため、手順の更新と旧版の誤使用防止が必要である。
重要度：B
問4：情報セキュリティ目的の設定例として、最も適切なものはどれか。
- A：「情報セキュリティをできるだけ高める」という表現だけで目的を定める
- B：訓練の受講率を年度末までに98％以上とし、確認の責任者と方法を定める
- C：事故を完全にゼロにすることだけを掲げ、期限や評価方法は定めない。
- D：担当者が個人的に達成可能だと思う内容を、方針と無関係に設定する。
【第4問：正解と解説】
正解：B
・A
測定の方法も期限もなく、達成状況を確認できない。目的は測定可能に定める。
・B
正しい。方針と整合し、期限、責任者、評価方法などが定められているため、進捗と達成状況を確認できる。
・C
事故ゼロは目標として掲げる場合があっても、これだけでは具体的な活動や評価方法が不明確である。
・D
目的は組織の方針やリスクと整合させる必要があり、個人の判断だけで決めるものではない。
重要度：B
問5：小規模な組織でISMS内部監査員を選定する。監査の客観性を確保する方法として、最も適切なものはどれか。
- A：監査員の過去の経験だけに任せ、監査基準の設定や記録の作成は行わない
- B：監査結果が良くなるよう、監査対象部門の責任者に判定を任せる。
- C：システム管理者が、自分で設定したアクセス権管理だけを監査する。
- D：担当業務が異なる者を監査員に選び、基準と証拠に基づいて評価する
【第5問：正解と解説】
正解：D
・A
基準と記録がなければ、評価の根拠を後から示せず、監査の信頼性を欠く。
・B
被監査部門が自ら判定を確定すると、監査の公平性が確保できない。
・C
自分自身の業務だけを監査すると、客観性が損なわれやすい。
・D
正しい。組織規模を踏まえつつ、担当の分離と明確な監査基準・証拠によって客観性を高める。
コメント