平成29年度 秋期 ITパスポート試験 問80
テクノロジ／セキュリティISMS 適合性評価制度において，組織が ISMS 認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営する Web サイトを構成しているシステムには脆弱性がないこと b 組織が情報資産を適切に管理し，それを守るための取組みを行っていること c 組織が提供する暗号モジュールには，暗号化機能，署名機能が適切に実装されていること
出典：平成29年度 秋期 ITパスポート試験 問80
- アa
- イb
- ウb，c
- エc
正解：イ
解説
ISMS 認証は，組織が情報資産を適切に管理し守るための仕組み（マネジメントシステム）を整備して運用していることを第三者が認証するものです。個々のシステムに脆弱性がないことや，製品の機能が適切に実装されていることまでは保証しません。したがって判断できるのは b だけです。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。ISMS 認証は組織の管理の仕組みを認証するもので，個々のシステムに脆弱性がないことまでは判断できません。
- イ正しい。ISMS 認証から判断できるのは，組織が情報資産を適切に管理し，守る取組みを行っていることだけです。
- ウ誤り。b は正しいですが，c の暗号モジュールの実装は製品の評価（暗号モジュール試験など）で確認する事項で，ISMS 認証では判断できません。
- エ誤り。c は ISMS 認証では判断できません。b が判断できる点も含めていないので，この選択肢にもなりません。