修了試験 2019-12-08実施分 基本情報技術者試験 問58

解説

正解は4です。 ISMS（Information Security Management System）は、情報セキュリティを管理する仕組みです。 その内部監査では、規格の要求事項や組織のルールに沿っていない点を指摘事項として報告します。 JIS Q 27001では、リスク受容基準を含むリスク基準を確立したうえで、リスクアセスメントを実施することが求められています。 【選択肢別解説】 1：× USBメモリの使用を定められた手順どおりに許可しているので、ルールに沿った運用です。 指摘事項にはなりません。 2：× 誤廃棄事故を規定どおり主務官庁などに報告しているので、適切な対応です。 指摘事項にはなりません。 3：× スパイウェアが検知されて駆除されているので、対策が機能している状態です。 指摘事項にはなりません。 4：○ リスク受容基準は、リスクアセスメントを行う前に決めておくべきものです。 実施後に決めたのは手順の誤りで、指摘事項として記載すべきです。 【ポイント】 リスク受容基準を後から決めると、評価の結果に合わせて基準を都合よく変えられてしまいます。 基準を先に決めることで、一貫した評価ができます。