情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度秋期 午前Ⅱ 問24: IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1:2012（サービスマネジメントシステム要求事項）が要求している事項

正解

ウ. 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

正答率 100.0%（1人中 1人が正解）

問題の解説

JIS Q 20000-1の情報セキュリティ管理プロセスでは、情報セキュリティへの影響を管理するため、変更要求が情報セキュリティ基本方針および管理策に与える潜在的影響を評価することを要求している。ウが正解。実務では変更管理とセキュリティを連携させ、システム変更が新たなリスクを生まないかを事前評価することで、変更に伴うセキュリティ低下を防ぐ。

選択肢ごとの解説

• アCIの原本を安全な格納庫で管理するのは構成管理に関する事項で、情報セキュリティ管理プロセスの要求とは別で誤り。
• イ潜在的問題低減のための予防処置は問題管理等に関する記述で、情報セキュリティ管理が要求する事項ではないので誤り。
• ウ変更要求が情報セキュリティ基本方針や管理策に与える潜在的影響を評価する点が同規格の要求で、これが正解。
• エリスクや事業利益等を考慮した変更受入れの意思決定は変更管理の事項で、情報セキュリティ管理固有の要求ではないため誤り。