重要度：B
問6：経営陣が行うマネジメントレビューの内容として、最も適切なものはどれか。
- A：実施済みの内部監査を経営陣が監査員としてやり直し、証拠を集め直す
- B：監査結果や目標の達成状況を基に、ISMSの変更や改善の必要性を判断する
- C：検知された個々のアラートの一次分析を、経営陣がレビューの場で直接行う
- D：外部審査の結果の確認を中心とし、内部監査や目標の達成状況は扱わない。
【第6問：正解と解説】
正解：B
・A
レビューは監査のやり直しではなく、監査結果などの報告を受けて行う経営の評価である。
・B
正しい。マネジメントレビューでは、ISMSの適切性、妥当性、有効性を経営の視点から評価し、改善や変更を判断する。
・C
アラートの一次分析は監視・運用部門の役割であり、レビューは報告に基づく経営の評価活動である。
・D
外部審査だけでなく、内部監査や目標、リスク、運用実績などを総合的に確認する。
重要度：B
問7：内部監査で、退職者アカウントの削除手順が3か月間実施されていなかったことが判明した。是正処置として、最も適切なものはどれか。
- A：未削除アカウントを削除するだけで終了し、原因は調べない。
- B：その場で口頭の注意だけを行い、不適合としては記録せずに監査を終了する
- C：担当者の作業ミスと結論づけ、手順や連絡の仕組みは変更せずに監視だけ強める
- D：アカウントを直ちに処理し、原因を分析して手順を改善し、有効性を確認する
【第7問：正解と解説】
正解：D
・A
現状の修正は必要だが、原因を除去しなければ再発するおそれがある。
・B
記録を残さなければ、是正の追跡もマネジメントレビューへの報告もできない。
・C
個人の問題への矮小化は、人事連絡の仕組みという原因を残し、再発を防げない。
・D
正しい。問題を修正した上で原因を分析し、手順や連携を改善し、その処置が有効か確認することが是正処置となる。
重要度：C
問8：A社は本社の開発部門だけを適用範囲としてISMS認証を取得している。この認証の説明として、最も適切なものはどれか。
- A：A社では全拠点と全製品が自動的に認証対象となり、安全性が保証される。
- B：開発した製品の脆弱性が存在しないことを認証したものである。
- C：認証範囲のISMSが規格の要求事項に適合すると評価されたものである
- D：認証を取得した後は、内部監査や継続的改善を行う必要がない。
【第8問：正解と解説】
正解：C
・A
認証範囲が開発部門に限定されているなら、全社や全製品へ自動的に拡大されない。
・B
製品そのものに脆弱性がないことを保証する製品認証ではない。
・C
正しい。ISMS認証は、認証書で定められた組織・業務などの範囲に対するマネジメントシステムの適合性を評価する。インシデントが発生しないことや製品に脆弱性がないことを保証するものではない。
・D
認証後もISMSを維持し、監査、レビュー、改善を継続する必要がある。
重要度：C
問9：現場で旧版のインシデント対応手順が使用され、報告が遅れた。再発防止として、最も適切なものはどれか。
- A：承認済みの最新版を識別し、旧版は誤使用されないよう管理する
- B：新旧の手順を区別せず同じ共有フォルダへ保存する。
- C：手順を口頭だけで伝え、文書の版管理を行わない。
- D：各担当者がそれぞれ自分の判断で、手順の内容を変更できるようにする
【第9問：正解と解説】
正解：A
・A
正しい。最新版の識別と旧版の管理が、文書化した情報の管理の基本である。
・B
版を区別できなければ、再び旧版を使用する可能性がある。
・C
口頭連絡だけでは、内容の一貫性や変更履歴を確保しにくい。
・D
無承認の変更は手順の不整合を生み、統制を弱める。
重要度：C
問10：情報セキュリティガバナンスと組織の内部統制との関係について、適切なものはどれか。
- A：両者は目的が異なるため、別々の仕組みとして切り離して構築する
- B：内部統制が確立していれば、セキュリティの統治は不要になる
- C：内部統制の仕組みと整合させ、経営の統治の一部として構築する
- D：内部統制は財務報告に関する仕組みであり、情報セキュリティは対象外である
【第10問：正解と解説】
正解：C
・A
切り離すと経営の意思決定とセキュリティが乖離し、実効性を欠く。
・B
内部統制の存在は前提であって代替ではなく、情報セキュリティ固有の統治は別途必要である。
・C
正しい。情報セキュリティガバナンスはコーポレートガバナンス・内部統制と整合させて構築する。
・D
内部統制は財務報告に限らず業務全般の統制に関わり、情報セキュリティもその重要な一部である。
コメント