令和4年度 春期 ITストラテジスト試験 午前II 問24
テクノロジセキュリティ管理セキュリティ関連機関・評価認証制度
“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち，適切なものはどれか。
解答・解説
正解: イ. ガバナンス基準の実施主体は経営陣であり，情報セキュリティガバナンスのプロセスとして，評価，指示，モニタ，コミュニケーション及び保証の各プロセスが定められている。
ISMAP（政府情報システムのためのセキュリティ評価制度） における ISMAP管理基準 は、クラウドサービス事業者が満たすべき情報セキュリティ基準です。ISMAP管理基準は以下の3つの基準から構成されています。・ガバナンス基準：経営陣が実施主体となり、情報セキュリティガバナンスのプロセス（評価、指示、モニタ、コミュニケーション、保証）を定める。・マネジメント基準：管理者が実施主体となり、情報セキュリティマネジメントのプロセス（計画、実行、点検、処置、リスクコミュニケーション）を定める。・管理策基準：業務実施者が主体となり、リスク対応方針に従って管理策を選択する際の選択肢を与える。
各選択肢の解説
- ア：誤り。ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準の三つから構成されています。「監査基準」はISMAPにおける監査機関が従うべき基準であり、管理基準には含まれません。
- イ：正解。ガバナンス基準に関する正しい記述です。実施主体は経営陣であり、評価、指示、モニタ、コミュニケーション、保証のプロセスが定められています。
- ウ：誤り。管理者が実施すべき情報セキュリティマネジメントの計画、実行、点検、処置などを定めているのは、マネジメント基準です。
- エ：誤り。リスク対応方針に従って管理策を選択する際の選択肢を与えているのは、管理策基準です。