情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度秋期 午前Ⅱ 問24: IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1:2012（サービスマネジメントシステム要求事項）が要求している事項

問題本文

IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1:2012（サービスマネジメントシステム要求事項）が要求している事項はどれか。

選択肢

• ア.CMDB に記録されている CI の原本を，セキュリティが保たれた物理的又は電子的な格納庫で管理しなければならない。
• イ.潜在的な問題を低減させるために，予防処置をとらなければならない。
• ウ.変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
• エ.変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。

正解

ウ. 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

解説

JIS Q 20000-1の情報セキュリティ管理プロセスでは、情報セキュリティへの影響を管理するため、変更要求が情報セキュリティ基本方針および管理策に与える潜在的影響を評価することを要求している。ウが正解。実務では変更管理とセキュリティを連携させ、システム変更が新たなリスクを生まないかを事前評価することで、変更に伴うセキュリティ低下を防ぐ。

選択肢ごとの解説

• ア.CIの原本を安全な格納庫で管理するのは構成管理に関する事項で、情報セキュリティ管理プロセスの要求とは別で誤り。
• イ.潜在的問題低減のための予防処置は問題管理等に関する記述で、情報セキュリティ管理が要求する事項ではないので誤り。
• ウ.変更要求が情報セキュリティ基本方針や管理策に与える潜在的影響を評価する点が同規格の要求で、これが正解。
• エ.リスクや事業利益等を考慮した変更受入れの意思決定は変更管理の事項で、情報セキュリティ管理固有の要求ではないため誤り。