修了試験 2011-06-26実施分 基本情報技術者試験 問79

解説

正解は4です。 この問題は、JIS Q 27001:2006におけるISMS（Information Security Management System：情報セキュリティマネジメントシステム）の確立の手順を問うています。 ISMSの確立では、リスクを分析・評価し、その結果に基づいて管理策を選び、選んだ管理策を適用宣言書にまとめます。 したがって、③、②、①の順になります。 【選択肢別解説】 1：× 適用宣言書は、選択した管理目的・管理策とその理由を記載する文書です。 管理策を選ぶ前に作成することはできません。 2：× 適用宣言書を最初に作成することはできません。 また、管理策の選択はリスクの分析と評価の結果を受けて行います。 3：× 管理策は、リスクの分析と評価の結果に基づいて選ぶものです。 リスクを評価する前に管理策を選ぶのは順序が逆です。 4：○ まずリスクを分析・評価し、次にリスク対応のための管理目的と管理策を選び、最後にそれらを適用宣言書にまとめるので、③、②、①の順です。 【ポイント】 適用宣言書には、附属書Aの管理策のうち採用したものと、その理由、除外した理由を記載します。 「リスク評価、管理策の選択、適用宣言書」の流れは、PDCAのPlan（計画）に当たります。