令和6年度春期 ITストラテジスト 午前Ⅱ 問25

制度内容を整理する視点の置き方

制度に関する設問では、個別の用語や印象だけで判断せず、制度が何を対象に、どの主体のために、どのような管理上の目的で整理されているかを切り分け、その関係を確認することが大切です。

この問題で問われていること

確認する観点は、制度を構成する要素どうしの関係です。対象、関係する主体、確認や管理の目的を問題文の記述に沿って対応づけ、一般的な連想ではなく、文中の条件を優先して整理してください。

視点

制度の説明を読む際は、対象・主体・目的という観点を分けて捉え、それぞれがどの記述と結び付いているかを整理しましょう。

確認ポイント

• 制度が扱う対象を確認する
• 関係する主体を区別する
• 管理上の目的との対応を整理する

正解

イ

解説

ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つから構成される。ガバナンス基準では経営陣を実施主体とし、評価、指示、モニタ、コミュニケーション及び保証のプロセスを定めているため、適切なのはイです。

理由

ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスの評価、指示、モニタ、コミュニケーション及び保証の各プロセスを定めている。

比較

計画、実行、点検、処置及びリスクコミュニケーションに必要な事項はマネジメント基準に対応する。また、リスク対応方針に従って管理策を選択する際の選択肢を与えるのは管理策基準です。したがって、基準の名称と役割を取り違えているア、ウ、エは適切ではありません。

選択肢ア

これは不正解だよ。ISMAP管理基準の構成を四つとしている点が誤りである。公式設問で示された監査基準は構成要素に含まれず、ガバナンス基準、マネジメント基準、管理策基準の三つから構成される。

選択肢イ（正解）

これは正解だよ。ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証が定められている。設問の記述はこの対応と一致する。

選択肢ウ

これは不正解だよ。情報セキュリティマネジメントの計画、実行、点検、処置及びリスクコミュニケーションに必要な事項を定めるのは管理策基準ではなく、マネジメント基準である。基準の役割を取り違えている。

選択肢エ

これは不正解だよ。リスク対応方針に従って管理策を選択する際の選択肢を与える役割は、マネジメント基準ではなく管理策基準に対応する。したがって、ここでも基準の名称と役割が入れ替わっている。

学習のポイント

三つの基準の構成と、主体・役割・プロセスの対応を整理する。