令和6年度 春期 ITストラテジスト試験 午前Ⅱ 問25
テクノロジ／セキュリティ“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準（令和5年9月22日最終改定）”に関する記述のうち，適切なものはどれか。
出典：令和6年度 春期 ITストラテジスト試験 午前Ⅱ 問25
- アISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準，監査基準の四つから構成されている。
- イガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められている。
- ウ管理策基準は，管理者が実施すべき事項として，情報セキュリティマネジメントの計画，実行，点検，処置及びリスクコミュニケーションに必要な事項を定めている。
- エマネジメント基準は，組織における情報セキュリティマネジメントの確立段階において，リスク対応方針に従って管理策を選択する際の選択肢を与えている。
正解：イ
解説
ISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準の三つから構成されています。このうちガバナンス基準は，経営陣を実施主体として，情報セキュリティガバナンスにおける評価，指示，モニタ，コミュニケーション及び保証の各プロセスを定めたものです。
選択肢ごとの解説
- ア誤り。ISMAP管理基準は，ガバナンス基準，マネジメント基準，管理策基準の三つから構成されており，監査基準は含まれていません。
- イ正しい。ガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められています。
- ウ誤り。管理者が実施すべき情報セキュリティマネジメントの計画，実行，点検，処置及びリスクコミュニケーションに必要な事項を定めているのは，マネジメント基準の説明です。
- エ誤り。組織における情報セキュリティマネジメントの確立段階でリスク対応方針に従って管理策を選択する際の選択肢を与えているのは，管理策基準の説明です。