ISMS・諸規程・情報セキュリティ継続

この単元には 24問あります。うち 2問は科目B（長文事例）で、この単元の科目Bだけ解くこともできます。くり返し出ているものから並べています。

情報セキュリティを仕組みとして回し、止まったときに戻すまで

個々の対策の寄せ集めではなく、方針を決め、実行し、点検して直す仕組みとして回すのが情報セキュリティマネジメントシステム（ISMS）です。要求事項を定めるのがJIS Q 27001で、用語の定義はJIS Q 27000にあります。

出発点は文書の体系です。組織の考え方を示す基本方針、守るべきことを定める対策基準、具体的なやり方を示す実施手順という三階層に整理され、小さい組織では対策基準と実施手順をまとめた二階層でもよいとされます。情報セキュリティ方針はしまい込まず、従業員と関連する外部関係者に知らせます。

仕組みを動かす責任は経営層にあります。トップマネジメントはリーダーシップとコミットメントを示し、マネジメントレビューでは内部監査の結果や、不適合と是正処置の状況を考慮して見直します。組織の管理下で働く人々が方針を認識することも求められます。

何を守るかは見積りから決めます。リスクアセスメントはリスク特定・リスク分析・リスク評価という一続きの見積りで、その結果を受けてリスクへの対応の仕方を選び、必要な管理策を決めます。決めた管理策を附属書Aの一覧と照らして見落としを確かめ、採用と除外を理由付きで記した適用宣言書にまとめます。

直し方にも段階があります。目の前の不具合を片付けるのが修正、原因まで戻って再発を防ぐのが是正処置で、こうした処置を積み重ねて仕組み自体を良くするのが継続的改善です。

止まったときの備えも扱います。事業を早く戻すための計画が事業継続計画（BCP）で、システムを立て直す側の計画がディザスタリカバリです。いつまでに再開するかという時間の目標がRTO、どの時点の状態まで戻すかという時点の目標がRPOで、この二つがバックアップの取り方や備えの重さを決めます。

外部のサービスを使うと拠りどころが増えます。JIS Q 27017は、汎用の管理策集であるJIS Q 27002に基づき、クラウドサービス固有の管理策と実施の手引を定めたもので、提供側と利用側の双方に向けられています。

この単元で出た問題

JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。3回出題
情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知らなかった”という言い訳をさせないことが目的の一つになっている対策はどれか。2回出題
A社は従業員200名の電子機器メーカーである。東京に本社があり，新潟に工場がある。A社では，ファイルサーバを図1のように運用している。科目B
A社は，金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え，A社の社長は情報セキュリティに対する取組が必要であると考え，新たに情報セキュリティリーダーをおくことにした。社長は，どのような取組が良いかを検討するよう，情報セキュリティリーダーに任命されたB主任に指示した。B主任は，調査の結果，IPAが実施しているSECURITY ACTIONへの取組を社長に提案した。SECURITY ACTIONとは，中小企業自らが，情報セキュリティ対策に取り組むことを自己宣言する制度であるとの説明を受けた社長は，SECURITY ACTIONの一つ星を宣言するために情報セキュリティ5か条に取り組むことを決め，B主任に，情報セキュリティ5か条への自社での取組状況を評価するように指示した。B主任の評価結果は表1のとおりであった。科目B
BYODの説明，及びその情報セキュリティリスクに関する記述のうち，適切なものはどれか。
IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述のうち，適切なものはどれか。
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における，トップマネジメントに関する記述として，適切なものはどれか。
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち，適切なものはどれか。
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，ISMSに関するリーダーシップ及びコミットメントをトップマネジメントが実証する上で行う事項として挙げられているものはどれか。
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，トップマネジメントがマネジメントレビューで考慮しなければならない事項としている組合せとして，適切なものはどれか。
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，情報セキュリティ目的をどのように達成するかについて計画するとき，“実施事項”，“責任者”，“達成期限”のほかに，決定しなければならない事項として定められているものはどれか。
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，組織の管理下で働く人々が認識をもたなければならないとされているのは，“ISMSの有効性に対する自らの貢献”及び“ISMS要求事項に適合しないことの意味”と，もう一つはどれか。
JIS Q 27001に基づく情報セキュリティ方針の取扱いとして，適切なものはどれか。
JIS Q 27002:2014には記載されていないが，JIS Q 27017:2016において記載されている管理策はどれか。
JIS Q 27017:2016（JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）が提供する“管理策及び実施の手引”の適用に関する記述のうち，適切なものはどれか。
SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。
シャドーITに該当するものはどれか。
ディザスタリカバリを計画する際の検討項目の一つであるRPO（Recovery Point Objective）はどれか。
事業継続計画で用いられる用語であり，インシデントの発生後，次のいずれかの事項までに要する時間を表すものはどれか。
事業継続計画の策定に際し，リスクへの対応として適切なものはどれか。
企業活動におけるBCPを説明したものはどれか。
組織がJIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）への適合を宣言するとき，要求事項及び管理策の適用要否の考え方として，適切なものはどれか。

正解と解説は演習画面で、解答したあとに表示されます。

年度から解く

この単元の問題は 9年度ぶんの試験から出ています。いちばん新しいのは令和8年度です。年度から選ぶと、回ごとにまとめて解けます。