平成22年度 春期 基本情報技術者試験 問80

解説

正解は4です。 JIS Q 27001:2006に基づくISMS（Information Security Management System、情報セキュリティマネジメントシステム）の確立手順を問う問題です。 ISMSでは、まずリスクを把握し、それに対応する管理策を選び、最後に選んだ管理策を文書にまとめます。 【手順】 最初に、情報資産に対するリスクを特定し、分析して評価します（③）。 次に、評価結果に基づいて、リスク対応のための管理目的と管理策を選択します（②）。 最後に、選択した管理策とその理由、採用しなかった理由をまとめた適用宣言書を作成します（①）。 よって、③、②、①の順です。 【選択肢別解説】 1：× 適用宣言書を最初に作ることはできません。 適用宣言書は選択した管理策を記載する文書なので、管理策を選んだ後に作成します。 2：× 適用宣言書を最初に作っている点が誤りです。 リスクの分析と評価から始める必要があります。 3：× 管理策の選択をリスクの分析と評価より先に行っている点が誤りです。 管理策は、評価したリスクに対応させて選ぶものです。 4：○ リスクの分析と評価、管理目的と管理策の選択、適用宣言書の作成の順で、規格の手順と一致します。 【ポイント】 ISMSは「リスクを評価してから対策を選ぶ」というリスクベースの考え方が基本です。