ITパスポート試験 令和4年度 公開問題 問58

【正解】イ

ISMSは、情報セキュリティマネジメントシステムのことで、組織が情報の機密性、完全性、可用性を守るための仕組みです。パフォーマンス評価では、計画した管理策が適切に実施され、ISMSが有効に機能しているかを監視、測定、分析及び評価します。内部監査は、組織自身がISMSの要求事項や定めたルールへの適合状況を客観的に確認する活動なので、パフォーマンス評価で実施します。

アの運用の計画及び管理は誤りです。これは、決められたプロセスを実施し、情報セキュリティ上の要求事項を満たすための「運用」に該当します。評価結果を確認する活動ではありません。

ウの不適合の是正処置は誤りです。これは、要求事項を満たしていない状態である不適合が発生したとき、その原因を除去して再発を防ぐ「改善」に該当します。

エのリスクの決定は誤りです。これは、守るべき情報資産に対する脅威やぜい弱性、影響などを検討してリスクを特定、分析、評価する「計画」の段階に関係する活動です。

【ポイント】 ISMSでは、計画、運用、パフォーマンス評価、改善という流れを継続的に回します。 内部監査とマネジメントレビューは評価、不適合への是正処置と継続的改善は改善に分類されます。