平成29年度 秋期 情報セキュリティマネジメント試験 午前 問2
テクノロジ／セキュリティ組織がJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）への適合を宣言するとき，要求事項及び管理策の適用要否の考え方として，適切なものはどれか。 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問2
- ア規格本文の箇条4～10に規定された要求事項：全て適用が必要である，附属書A“管理目的及び管理策”に規定された管理策：全て適用が必要である
- イ規格本文の箇条4～10に規定された要求事項：全て適用が必要である，附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる
- ウ規格本文の箇条4～10に規定された要求事項：妥当な理由があれば適用除外できる，附属書A“管理目的及び管理策”に規定された管理策：全て適用が必要である
- エ規格本文の箇条4～10に規定された要求事項：妥当な理由があれば適用除外できる，附属書A“管理目的及び管理策”に規定された管理策：妥当な理由があれば適用除外できる
正解：イ
解説
JIS Q 27001:2014では、規格本文の箇条4～10に規定された要求事項（ISMSの確立・実施・維持・改善に関する事項）はすべて適用が必須ですが、附属書Aの管理策は、リスクアセスメントの結果に基づき、妥当な理由があれば適用除外（除外理由を文書化）することができます。
選択肢ごとの解説
- ア誤り。附属書Aの管理策は妥当な理由があれば適用除外できるため、全て適用が必要という記述は誤りです。
- イ正しい。規格本文の要求事項は全て適用必須であり、附属書Aの管理策は妥当な理由があれば適用除外できます。
- ウ誤り。規格本文の要求事項は適用除外できません。
- エ誤り。規格本文の要求事項は適用除外できないため、この組合せは誤りです。