令和4年度 春期 午前Ⅱ 問24

✓ これが正解イガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められている。

解説

ガバナンス基準は経営陣が主体で、評価・指示・モニタ等の過程を定めます。

ISMAP管理基準は、クラウドサービスの安全性を評価するための基準で、ガバナンス基準、マネジメント基準、管理策基準の三つで構成されます。見分ける軸は、それぞれの基準が誰を主体とし、何を定めているかです。ガバナンス基準は経営陣を実施主体とし、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスを定めています。マネジメント基準は管理者が行う情報セキュリティマネジメントの計画、実行、点検、処置などの事項を定め、管理策基準はリスク対応の方針に従って管理策を選ぶときの選択肢を示します。経営陣のガバナンス、管理者のマネジメント、具体策の管理策、と主体と中身を組で覚えると、説明の入替えに気付けます。出題当時の管理基準に沿って説明しています。

ほかの選択肢はなぜ違うのか

• アISMAP管理基準は，ガバナンス基準，マ…：ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つで構成されています。監査基準という四つ目の基準を加えた説明は、構成の数と中身が合っていません。
• ウ管理策基準は，管理者が実施すべき事項とし…：管理者が実施すべき事項として、情報セキュリティマネジメントの計画、実行、点検、処置やリスクコミュニケーションを定めているのは、マネジメント基準の内容です。管理策基準の説明に付け替えられています。
• エマネジメント基準は，組織における情報セキ…：リスク対応方針に従って管理策を選ぶときの選択肢を与えるのは、管理策基準の役割です。マネジメント基準は、管理者によるマネジメントの進め方を定める側なので、説明が入れ替わっています。