平成22年度 春期 基本情報技術者試験 午前 問80
ストラテジ／企業活動JIS Q 27001:2006におけるISMSの確立に必要な事項①〜③の順序関係のうち，適切なものはどれか。 ① 適用宣言書の作成 ② リスク対応のための管理目的及び管理策の選択 ③ リスクの分析と評価
出典：平成22年度 春期 基本情報技術者試験 午前 問80
- ア①→②→③
- イ①→③→②
- ウ②→③→①
- エ③→②→①
正解：エ
解説
JIS Q 27001:2006（ISMSの要求事項）では，まずリスクを特定し，リスクの分析と評価（③）を行った上で，そのリスクへの対応方針となる管理目的及び管理策を選択し（②），選択した管理策の適用状況をまとめた適用宣言書を作成する（①）という順序で確立作業を進めます。
選択肢ごとの解説
- ア誤り。適用宣言書の作成を最初に行うと，リスクの分析・評価や管理策の選択より先に適用宣言書を作ることになり，順序が逆転しています。
- イ誤り。管理策の選択（②）よりも先に適用宣言書の作成（①）を行う順序になっており，適切な手順とは異なります。
- ウ誤り。リスクの分析・評価（③）よりも先に管理策の選択（②）を行う順序になっており，適切な手順とは異なります。
- エ正しい。リスクの分析と評価（③）を行った上で管理目的・管理策を選択し（②），その内容を適用宣言書としてまとめる（①）という順序が適切です。