令和4年度 春期 ITストラテジスト試験 午前Ⅱ 問24
テクノロジ／セキュリティ“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち，適切なものはどれか。
出典：令和4年度 春期 ITストラテジスト試験 午前Ⅱ 問24
- アISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準，監査基準の四つから構成されている。
- イガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められている。
- ウ管理策基準は，管理者が実施すべき事項として，情報セキュリティマネジメントの計画，実行，点検，処置及びリスクコミュニケーションに必要な事項を定めている。
- エマネジメント基準は，組織における情報セキュリティマネジメントの確立段階において，リスク対応方針に従って管理策を選択する際の選択肢を与えている。
正解：イ
解説
ISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準の三つから構成されています。このうちガバナンス基準は，実施主体を経営陣とし，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスを定めています。
選択肢ごとの解説
- ア誤り。ISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準の三つから構成されており，監査基準は含まれていません。
- イ正しい。ガバナンス基準の実施主体は経営陣であり，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められています。
- ウ誤り。情報セキュリティマネジメントの計画，実行，点検，処置及びリスクコミュニケーションに必要な事項を定めているのは，管理策基準ではなくマネジメント基準です。
- エ誤り。リスク対応方針に従って管理策を選択する際の選択肢を与えているのは，マネジメント基準ではなく管理策基準です。