平成27年度 秋期 （特別措置試験） 問80

✓ これが正解ウISMS を構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。

解説

守るものを先に決めてから、どう守るかを決めていきます。

シラバスは情報資産という語を脅威と脆弱性の手前に置き、リスクアセスメントとリスク対応を並べています。守るべきものを洗い出し、そこにどんな危うさがあるかを見積もり、どう手当てするかを決めるという順です。正解の側は、この順をそのまま述べています。仕組みそのものは、事故が起きたときだけ回すものではありません。見積もる語と手当てを決める語が、同じ行に隣り合って置かれています。並べ方そのものが、進めるべき順を示しているということです。外れる三つは、いずれも範囲か時期か中身のどれかを狭めています。狭めた肢が三つ並んだときは、残る一つが広いままかどうかを確かめます。

ほかの選択肢はなぜ違うのか

• アISMS のマネジメントサイクルは，セキ…：事故の発生で始まり、収束で終わるとした記述です。常に回し続けることが前提になっています。回す時期を狭めた肢です。シラバスは継続的な改善を同じ節に置いており、止まる前提がありません。回し続けるものとして書かれています。
• イISMS の構築，運用は，組織全体ではな…：組織全体ではなく部門ごとに作るとした記述です。どこまでを対象にするかは、組織のほうで決めます。範囲を狭めた肢です。適用する範囲を線引きするのは、組織の側の仕事にあたります。一つの部門で閉じるという決まりは、どこにも書かれていません。
• エ情報セキュリティ方針は，具体的なセキュリ…：方針に個々の手当てを書くとした記述です。方針は構えを示すもので、細かい手順は別に置かれます。方針の中身を狭めた肢です。