令和4年度春期 ITストラテジスト 午前Ⅱ 問24

記述が扱う対象範囲を確かめる

制度や基準に関する内容を整理するときは、それぞれの記述がどこまでを対象としているかに注目しましょう。用語の印象だけで判断せず、示された情報を手掛かりに、対象範囲を丁寧に捉えることが大切です。

この問題で問われていること

この問題では、示された情報の対象範囲を意識して整理してみましょう。ある範囲について述べた内容を、根拠なく別の範囲に広げて受け取っていないか、書かれている内容に立ち戻って確認することが検討の手掛かりになります。

視点

対象範囲の整理では、示された内容が何について述べているかを確かめます。自分の知識で範囲を補う前に、提示された情報から読み取れる範囲と、自分で付け加えた範囲を区別してみましょう。

確認ポイント

• 何について述べた内容かを確認したか
• 対象範囲を示す手掛かりを拾えているか
• 示された範囲を根拠なく広げていないか

正解

イ

解説

適切なのはイです。ISMAP管理基準は三つの基準から構成され、そのうちガバナンス基準は経営陣を実施主体とし、評価、指示、モニタ、コミュニケーション及び保証のプロセスを定めています。

理由

ガバナンス基準の実施主体は経営陣です。情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証が定められています。イは、実施主体とプロセスの両方を適切に説明しています。

比較

誤りの選択肢は、基準の構成や役割を取り違えています。アは、ガバナンス基準、マネジメント基準、管理策基準の三つに監査基準を加えている点が誤りです。ウの計画、実行、点検、処置及びリスクコミュニケーションはマネジメント基準の説明です。エの管理策を選択する際の選択肢を与える役割は管理策基準の説明です。

選択肢ア

これは不正解だよ。ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成される。前半に挙げた三つの基準は構成要素に当たるが、監査基準を加えて四つとしている後半の記述が誤っている。

選択肢イ（正解）

これは正解だよ。ガバナンス基準は、経営陣が情報セキュリティの方向付けや監督を行うための基準である。本選択肢は、実施主体を経営陣とし、評価、指示、モニタ、コミュニケーション及び保証の各プロセスを挙げており、主体と活動の両方が適切である。

選択肢ウ

これは不正解だよ。管理者が実施すべき計画、実行、点検、処置及びリスクコミュニケーションを定めるのは、マネジメント基準である。本選択肢は、これらの活動の説明を管理策基準に対応付けている点が誤りである。

選択肢エ

これは不正解だよ。リスク対応方針に従って管理策を選択する際の選択肢を与えるのは、管理策基準である。本選択肢の後半は管理策基準の役割を述べているが、前半でマネジメント基準の説明としている点が誤りである。

学習のポイント

三つの基準の役割を、経営陣の統治、管理者による運用管理、管理策の選択という対応で整理しましょう。