情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成28年度春期 午前Ⅱ 問24: IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1 が要求している事項はどれか。

正解

ウ. 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

問題の解説

JIS Q 20000-1の情報セキュリティ管理プロセスでは、変更がセキュリティに及ぼす影響を管理することが求められ、変更要求が情報セキュリティ基本方針および管理策に与える潜在的影響を評価しなければならないと規定されている。CMDB原本の書庫保管、予防処置、変更受入れ時のリスク・事業利益・実現可能性の考慮は、それぞれ構成管理や問題管理、変更管理など他プロセスの要求事項。実務では変更の前にセキュリティ影響評価を組み込むことが重要となる。

選択肢ごとの解説

• アCI原本の書庫管理は構成管理側の事項で、情報セキュリティ管理の要求としては誤り。
• イ予防処置は問題管理など別プロセスの要求であり、本問の答えとしては誤り。
• ウ変更要求が情報セキュリティ方針・管理策に与える影響を評価するという正しい要求事項で正解。
• エリスクや事業利益等を考慮する変更受入れの判断は変更管理の事項であり、ここでは誤り。