平成27年度 秋期 ITパスポート試験 問80
テクノロジ／セキュリティISMSに関する記述のうち，適切なものはどれか。
出典：平成27年度 秋期 ITパスポート試験 問80
- アISMSのマネジメントサイクルは，セキュリティ事故が発生した時点で開始し，セキュリティ事故が収束した時点で終了する。
- イISMSの構築，運用は，組織全体ではなく，必ず部門ごとに行う。
- ウISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。
- エ情報セキュリティ方針は，具体的なセキュリティ対策が記述されたものである。
正解：ウ
解説
ISMS（情報セキュリティマネジメントシステム）では，まず保護すべき情報資産を特定し，リスクを評価したうえで，必要な対策を決めて実施します。これを PDCA サイクルで継続的に回していきます。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。ISMS のマネジメントサイクルは，事故の有無にかかわらず継続的に回し続けるものです。
- イ誤り。ISMS は，組織全体や，組織が定めた適用範囲で構築・運用するもので，必ず部門ごとに行うとは限りません。
- ウ正しい。情報資産を特定し，リスクを評価してリスク対策を決めます。
- エ誤り。情報セキュリティ方針は組織の基本的な考え方を示すもので，具体的な対策は対策基準や手順書などに記述します。