ITストラテジスト試験 令和4年度 春期 午前II 問24

【正解】イ

ISMAP管理基準のガバナンス基準は、クラウドサービス事業者の経営陣が実施主体となり、組織全体の情報セキュリティを適切に統治するための事項を定めています。そのプロセスは、現状やリスクを把握する「評価」、方針や優先順位を示す「指示」、実施状況を見守る「モニタ」、関係者との「コミュニケーション」、活動の有効性について信頼を与える「保証」で構成されます。したがって、イが正解です。

アの説明は誤りです。ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つから構成されます。監査基準を加えた四つではありません。監査は、これらの管理策の実施状況を評価するための別の仕組みです。

ウの説明は誤りです。計画、実行、点検、処置というPDCAとリスクコミュニケーションについて、管理者が実施すべき事項を定めるのは、管理策基準ではなくマネジメント基準です。管理策基準は、リスク対応のための具体的な管理策を示します。

エの説明は誤りです。リスク対応方針に従って管理策を選択する際の選択肢を与えるのは、マネジメント基準ではなく管理策基準です。マネジメント基準は、情報セキュリティマネジメントを運営するためのプロセスを定めます。

【ポイント】 ガバナンス基準は経営陣による統治、マネジメント基準は管理者によるPDCA、管理策基準はリスク対応の具体策です。 誰が何を行う基準なのかを対応させて覚えてください。