ITパスポート試験 ITパスポート 2015年 (平成27年 秋期) 問80: ISMSに関する記述のうち,適切なものはどれか。

正解

ウ. ISMSを構築する組織は,保護すべき情報資産を特定し,リスク対策を決める。

正答率 56.4%（1,917人中 1,082人が正解）

問題の解説

ISMSは、組織が情報セキュリティを管理し、PDCAを繰り返して継続的に改善する仕組みである。構築にあたっては、まず保護すべき情報資産を特定し、そのリスクを評価して、対策を決める。適用範囲は組織全体でも一部でもよく、情報セキュリティ方針は基本的な考え方を示すものである。

選択肢ごとの解説

• アISMSのマネジメントサイクルは、事故の発生とは関係なく、PDCAを継続的に繰り返す。事故の発生後に始まり、収束で終わるものではない。
• イISMSの適用範囲は、組織が事業に応じて決める。組織全体でも特定の部門でもよく、部門ごとに必ず行うと決まっているわけではない。
• ウ正しい。保護すべき情報資産を特定し、リスクを評価して対策を決めるのが、ISMS構築の基本である。
• エ情報セキュリティ方針は、組織の基本的な考え方や方向性を示すもので、具体的な対策を記述するのは、対策基準や実施手順である。