平成28年度秋期 システムアーキテクト 午前Ⅱ 問23

ガバナンスの役割を区別する視点

経営陣が担うガバナンスの各役割は、名称の印象ではなく、その行為が何を受け取り何を生み出すかで区別すると整理しやすくなります。本問では役割ごとの入力と出力の関係に着目して検討しましょう。

この問題で問われていること

問われている行為について、経営陣がどこから何を受け取り、誰に向けて何を行うのかという情報の流れの向きを一つの観点として定め、記述された場面とその役割の目的が一致しているかを確かめることが求められます。

視点

ガバナンスは、経営陣が組織の方向性に責任を持つための活動です。実務担当者が行うマネジメントとは、行為の主体が異なります。規格では経営陣の行為をいくつかの役割に分けて定義していますが、各役割は単独で完結せず、相互に関係しながら循環します。そのため個々の役割を理解する際は、前後の役割とのつながりの中で捉えることが大切です。その役割が受け取る情報と生み出す成果を対にして整理すると、似た名称どうしの混同を防ぎやすくなります。

確認ポイント

• 場面の中で経営陣が受け取っている情報は何か、その出どころはどこかを確認する
• 経営陣の行為の結果として何が生み出され、誰に向けられるのかを確認する
• 受け取るものと生み出すものの組を、自分が理解している各役割の目的と照らし合わせる

正解

イ

解説

JIS Q 27014:2015における「モニタ」は、情報セキュリティに関する戦略的目的が達成されているかを評価できるようにするガバナンスプロセスです。

理由

モニタは、経営陣が情報セキュリティの戦略的目的に対する達成状況を評価できるようにする活動です。したがって、戦略的目的の達成を評価することを可能にするという説明が該当します。

比較

目的や戦略について指示を与える活動、独立した監査などを委託する活動、利害関係者と情報を交換する活動は、それぞれモニタとは異なるガバナンス上の役割を示しています。

選択肢ア

これは不正解だよ。情報セキュリティの目的及び戦略について指示を与える活動は、経営陣が方向性を示すプロセスを説明したものです。モニタの中心である、戦略的目的の達成状況を評価できるようにする役割とは一致しません。

選択肢イ（正解）

これは正解だよ。モニタは、情報セキュリティの戦略的目的について、達成状況を評価できるようにするガバナンスプロセスです。選択肢は、経営陣が目的の実現度を確認するための役割をそのまま説明しています。

選択肢ウ

これは不正解だよ。独立した立場から客観的な監査、レビュー又は認証を委託する活動は、評価のための外部的または独立的な確認に関するプロセスです。モニタそのものが担う役割の説明ではありません。

選択肢エ

これは不正解だよ。利害関係者との間で、特定のニーズに沿って情報セキュリティに関する情報を交換する活動は、関係者とのコミュニケーションに関するプロセスです。戦略的目的の達成状況を評価するモニタとは異なります。

学習のポイント

ガバナンスの各プロセスを、指示・評価・委託・情報交換の役割で区別する。