令和2年度 10月 （特別措置試験） 問69

✓ これが正解エ利害関係者のニーズと期待の理解

解説

守る範囲を決める土台なので、利害関係者の理解が最初に来ます。

ISMSは、情報を守る取り組みを組織として回し続けるための仕組みです。計画し、実施し、点検し、直すという輪を繰り返しますが、その輪を回し始める前に、何のために守るのかをはっきりさせる必要があります。そこで最初に置かれるのが、利害関係者のニーズと期待の理解です。顧客や取引先、従業員、法令を求める側が、それぞれ何を求めているのかを把握して、はじめて守るべき範囲と水準が決まります。範囲が決まらないうちは、どこにどんな危険があるのかを洗い出すこともできません。残る三つは、いずれもこの理解を土台にして、後から順に行うものです。順序を問う問題では、どれが土台になるのかを考えると迷いません。守る相手と守る理由が決まって、はじめて中身の議論ができます。よって最も適切なのは、利害関係者のニーズと期待の理解です。

ほかの選択肢はなぜ違うのか

• ア情報セキュリティリスクアセスメント：どこにどんな危険があるのかを洗い出して見積もる段です。ただし、守る対象と水準が決まっていなければ、どこまでを見るのかも決まらないので、この段より前に置くことはできません。洗い出しの網の広さは、先に決めた範囲で決まります。
• イ情報セキュリティリスク対応：洗い出した危険に対して、どう手を打つかを決めて実行する段です。何を見るかが決まり、見た結果が出てからでなければ着手できないので、最初に行うものにはあたりません。打ち手の中身は、見つかった危険の重さで変わります。
• ウ内部監査：決めたとおりに回せているかを、組織が自ら確かめる段です。確かめる基準そのものが先に立っていなければ成り立たないので、輪の後半に置かれるものであり、出発点にはなりません。回し始める前には、確かめる対象そのものがありません。