情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度春期 午前Ⅱ 問24: IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1 が要求している事項はどれか。

問題本文

IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1 が要求している事項はどれか。

選択肢

• ア.CMDB に記録されている CI の原本を，物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。
• イ.潜在的な問題を低減させるために，予防処置をとらなければならない。
• ウ.変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
• エ.変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。

正解

ウ. 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

解説

JIS Q 20000-1の情報セキュリティ管理プロセスでは、変更がセキュリティに及ぼす影響を管理することが求められ、変更要求が情報セキュリティ基本方針および管理策に与える潜在的影響を評価しなければならないと規定されている。CMDB原本の書庫保管、予防処置、変更受入れ時のリスク・事業利益・実現可能性の考慮は、それぞれ構成管理や問題管理、変更管理など他プロセスの要求事項。実務では変更の前にセキュリティ影響評価を組み込むことが重要となる。

選択肢ごとの解説

• ア.CI原本の書庫管理は構成管理側の事項で、情報セキュリティ管理の要求としては誤り。
• イ.予防処置は問題管理など別プロセスの要求であり、本問の答えとしては誤り。
• ウ.変更要求が情報セキュリティ方針・管理策に与える影響を評価するという正しい要求事項で正解。
• エ.リスクや事業利益等を考慮する変更受入れの判断は変更管理の事項であり、ここでは誤り。