平成22年度秋期 情報処理安全確保支援士 午前Ⅰ 問22

個別のパスワード設定ルールではなく、会社全体のIT活用や安全管理を正しくコントロールする（ITガバナンス）

ITの企業統治「システム管理基準」の位置づけについての問題だよ。これは、「ウイルスソフトを入れる」といった細かいセキュリティルール（セキュリティ対策基準）ではないんだ。企業が競争に勝つために「IT戦略をどう立てるか」「投資は適切か」「リスク管理はできているか」という、システム運用の全体的なガバナンス（統制）やマネジメントのあるべき姿（ガイドライン）を示した基準なんだよ。

この問題で問われていること

暗号化やファイアウォール設定などの技術的なセキュリティ基準と混同せず、「経営戦略に沿ってITを適正に活用・管理するための、システム監査上のベストプラクティス（統制の全体像）」としてシステム管理基準を理解しよう。

System Management Standards

the system management standards cover information strategy、 effective system investment、 and proper control design and operation for risk reduction

strategy and investment\ncontrol design\ncontrol operation\nrisk reduction

確認ポイント

• 個別攻撃対策の基準ではありません。
• 情報戦略と投資まで含む。
• 統制の整備と運用が主語になる。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。コンピュータウイルスへの予防・発見・駆除・復旧の話なので、ウイルス対策基準の説明だよ。たとえるなら、家族が風邪をひかないように予防して、かかったら治す手順の話であって、家全体の運営ルールであるシステム管理基準とは範囲が違うよ。

選択肢イ

これは不正解だよ。不正アクセスへの対策、つまり泥棒が勝手に家に入らないようにする防犯対策の話だよ。システム管理基準はもっと広く、家の建て方、管理費、防犯、修理まで見るルールなので、不正アクセスだけに絞ったこの説明は違うよ。

選択肢ウ（正解）

これは正解だよ。システム管理基準は、会社の情報システムをどう計画し、どうお金をかけ、どう安全に管理するかをまとめた“会社のIT運営マニュアル”みたいなもの。家でいうと、鍵の管理、防犯カメラ、修理費の使い方まで含めた家全体の管理ルールだと考えると分かりやすいよ。

選択肢エ

これは不正解だよ。ソフトウェアの違法コピーを防ぐ話なので、システム管理基準ではなくソフトウェア管理ガイドライン系の内容だよ。たとえるなら、家全体の管理ルールではなく、“DVDや本を勝手にコピーして配らないでね”という著作物の使い方ルールに近いよ。