情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度秋期 午前Ⅱ 問11: 不適合への対応のうち，JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の“是正処置”の定義はどれか。

問題本文

不適合への対応のうち，JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の“是正処置”の定義はどれか。

選択肢

• ア.不適合によって起こった結果に対処するための処置
• イ.不適合の原因を除去し，再発を防止するための処置
• ウ.不適合の性質及び対応結果について文書化するための処置
• エ.不適合を除去するための処置

正解

イ. 不適合の原因を除去し，再発を防止するための処置

解説

JIS Q 27000の用語定義では、是正処置は「不適合の原因を除去し、再発を防止するための処置」を指す。単に起きた結果に対処したり不適合そのものを取り除く修正とは区別され、根本原因にさかのぼって同じ問題が再び起きないようにする点が要点。よってイが正しい。実務ではインシデント後に応急対応(修正)だけで終わらせず、原因分析に基づく是正処置までを行うことがISMS運用の鍵となる。

選択肢ごとの解説

• ア.不適合が起こした結果への対処は修正の側面で、原因除去・再発防止である是正処置とは異なり誤り。
• イ.不適合の原因を除去し再発を防止する処置という是正処置の定義どおりで正解。
• ウ.不適合の文書化は記録に関する事項であり、是正処置そのものの定義ではなく誤り。
• エ.不適合を除去する処置は修正の定義であり、再発防止を含む是正処置とは区別され誤り。