情報セキュリティマネジメントの考え方とISMSの一問一答

情報セキュリティにおける「完全性(Integrity)」の説明として、最も適切なものはどれか。

• ①情報が正確であり、改ざんや破壊をされていない状態を維持すること
• ②認可された者だけが情報にアクセスできる状態を確保すること
• ③必要なときに情報に中断なくアクセスできる状態を確保すること
• ④情報の作成者や送信者が本人であることを証明できる状態を確保すること

情報セキュリティにおけるリスクの構成要素に関する説明のうち、最も適切なものはどれか。

• ①脆弱性とは、情報資産に意図的または偶発的に損害を与える主体そのものをいう。
• ②情報資産とは、企業が保有する土地や建物など有形資産全般のことをいう。
• ③脅威とは、脆弱性を利用して情報資産に損害を与える可能性のある要因のことをいう。
• ④リスクとは、脅威が情報資産に及ぼす影響を金銭に換算した損害賠償額のことをいう。

「ISMS」の略称が表す意味として、最も適切なものはどれか。

• ①Information Security Maintenance Standard(情報セキュリティ維持基準)
• ②Information Security Management System(情報セキュリティマネジメントシステム)
• ③Internal Security Monitoring Service(社内システム全体のセキュリティ監視サービス)
• ④Integrated System Management Solution(統合システム管理ソリューション)

ISMSにおけるPDCAサイクルの「Check」の段階で行われる活動として、最も適切なものはどれか。

• ①情報セキュリティ基本方針や対策基準を策定し、リスク対応の計画を立てる。
• ②策定した情報セキュリティ対策を組織内で実施し、教育や運用を行う。
• ③発見された不適合や改善点を踏まえ、是正処置を実施してISMSを改善する。
• ④情報セキュリティ対策の実施状況を監視し、内部監査等で有効性を評価する。

「JIS Q 27001」に関する説明として、最も適切なものはどれか。

• ①情報セキュリティマネジメントシステムの、国際規格に対応する日本産業規格である。
• ②日本国内だけで通用する独自の基準であり、国際規格とは無関係に策定された規格である。
• ③経済産業省が定めている、情報システムの調達手続きに関する行政指導文書である。
• ④個人情報保護法における安全管理措置を具体化するために制定された政令である。

我が国におけるISMS適合性評価制度において、認証機関に認定を付与する認定機関としての役割を担う組織はどれか。

• ①独立行政法人情報処理推進機構(IPA)
• ②一般社団法人情報マネジメントシステム認定センター(ISMS-AC)
• ③一般財団法人日本情報経済社会推進協会(JIPDEC)
• ④個人情報保護委員会

情報セキュリティの要素のうち「真正性(Authenticity)」の説明として、最も適切なものはどれか。

• ①利用者が行った操作を、後から本人が否定できないように証跡を残しておくこと
• ②システムが期待された機能を、一貫して確実に果たし続けられる状態にあること
• ③利用者の行動について、後から誰が何を行ったか責任の所在を追跡できること
• ④利用者や情報の発信元が、主張どおりの本人・本物であることを確実にすること

ISMSを構築する際の「適用範囲(スコープ)」の設定に関する記述として、最も適切なものはどれか。

• ①スコープは必ず組織全体を対象とし、一部の部門や事業所に限定して設定できない。
• ②スコープは事業内容や情報資産の重要性を踏まえ、特定の部門・拠点に限定して設定できる。
• ③スコープを定める作業はISMS運用開始後に行えばよく、事前に確定させておく必要はない。
• ④スコープの範囲を狭く設定するほど、ISMS認証の審査費用は必ず高額になっていく。

ISMSにおける「情報セキュリティ基本方針」に関する記述として、最も適切なものはどれか。

• ①現場の担当者が独自の判断で作成し、経営層の承認を経ずに運用を開始してよい。
• ②個々の情報システムの設定手順を詳細に記述した、実施手順レベルの文書である。
• ③組織の情報セキュリティへの姿勢を示す、経営層が承認する最上位の方針文書である。
• ④顧客からの問い合わせに対応するためだけに作成される、営業部門向けの資料である。

ISO/IEC 27001:2022及びJIS Q 27001:2023の附属書Aにおける管理策の分類として、最も適切なものはどれか。

• ①組織的管理策、人的管理策、物理的管理策、技術的管理策の4テーマに分類される。
• ②予防的管理策、発見的管理策、是正的管理策という3つのテーマのみに分類される。
• ③機密性管理策、完全性管理策、可用性管理策という3つのテーマのみに分類される。
• ④国内向け管理策と海外向け管理策という2つのテーマのみに分類されている。