平成22年度 春期 午前 問80

✓ これが正解エ③→②→①

解説

リスクを評価し、対策を選び、最後に宣言書です。

情報セキュリティマネジメントシステムを立ち上げるときは、まず何がどれだけ危ないのかを調べて重みを見ます。リスクの分析と評価がそこに当たります。その結果があって初めて、どのリスクにどう手を打つかという管理目的及び管理策を選べます。そして、選んだ手立てと、選ばなかったものについての理由をまとめて示す適用宣言書は、選択が済んだ後でなければ書きようがありません。判定の軸は、選ぶための根拠が先に出そろっているか、そしてまとめの文書が最後に来ているかです。出題当時は2006年版の規格でした。その後の改訂で用語は改められていますが、評価、対策の選択、適用宣言書の順は変わりません。

ほかの選択肢はなぜ違うのか

• ア①→②→③：適用宣言書の作成を先頭に置いた並びです。何が危ないかも、どの手を打つかもまだ決まっていない段階では書く材料がそろわないので、順序として成り立ちませんでした。
• イ①→③→②：同じく適用宣言書を先頭に置き、危険の見極めと手立ての決定をその後ろに並べています。まとめるべき中身が後から決まる形になっており、文書と根拠の前後が入れ替わっていました。
• ウ②→③→①：管理目的及び管理策の選択を、リスクの分析と評価より前に置いています。どこにどれだけの危険があるか分からないうちに打つ手を決めることになり、選ぶ根拠が用意できません。