平成30年度 秋期 情報セキュリティマネジメント試験 午前 問6
テクノロジ／セキュリティJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち，適切なものはどれか。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問6
- ア承認された情報セキュリティリスク対応計画を基に，適用宣言書を作成する。
- イ情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。
- ウ適用宣言書を作成後，その内容を基に情報セキュリティリスク対応の選択肢を選定する。
- エ適用宣言書を作成後，その内容を基に情報セキュリティリスクを特定する。
正解：イ
解説
JIS Q 27001では、情報セキュリティリスク対応に必要と決定した管理策を、附属書Aに規定する管理策と比較し、必要な管理策が見落とされていないことを確認した結果を基に、適用宣言書を作成することが要求されています。
選択肢ごとの解説
- ア誤り。適用宣言書はリスク対応計画そのものではなく、附属書Aとの比較結果を基に作成するものです。
- イ正しい。必要な管理策を附属書Aと比較した結果を基に適用宣言書を作成します。
- ウ誤り。リスク対応の選択肢の選定は、適用宣言書の作成より前に行うプロセスです。
- エ誤り。リスクの特定は、適用宣言書の作成よりも前段階のプロセスです。