ITパスポート試験 ITパスポート 2017年 (平成29年 秋期) 問80: ISMS適合性評価制度において,組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成してい

正解

イ. b

正答率 58.6%（876人中 513人が正解）

問題の解説

ISMS認証は、組織の情報セキュリティを管理する仕組み(マネジメントシステム)が規格に適合していることを、第三者が審査して認めるものである。したがって、情報資産を適切に管理して守る取組みを行っていること(b)だけが判断できる。個別のシステムに脆弱性がないこと(a)や、暗号モジュールの実装の正しさ(c)までは保証されない。

選択肢ごとの解説

• アa は、個別のシステムに脆弱性がないことである。ISMS認証は管理の仕組みを審査するもので、システムの脆弱性の有無までは判断できない。
• イ正しい。ISMS認証は、組織が情報資産を適切に管理し、それを守るための取組みを行っていることを示す。
• ウb は判断できるが、c は暗号モジュールの実装という製品の評価であり、ISMS認証の対象ではない。暗号モジュールは別の試験・認証制度で評価される。
• エc は暗号モジュールの機能の実装に関する評価で、ISMS認証の審査対象ではない。判断できる b も含まれていない。