情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問7: JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティを統治するために経営陣が実行するガバナンスプロセスのうちの“モニタ”はど

正解

イ. 戦略的目的の達成を評価することを可能にするガバナンスプロセス

問題の解説

JIS Q 27014の情報セキュリティガバナンスでは、経営陣のプロセスとして評価・指示・モニタ・コミュニケーション・保証が定義される。このうち「モニタ」は、戦略的目的の達成度を経営陣が把握・評価できるようにするプロセスで、これがイ。指示は方向付け、保証は独立監査の委託、コミュニケーションは利害関係者との情報交換に当たる。実務では経営層がセキュリティKPIで状況を継続把握する活動に対応する。

選択肢ごとの解説

• ア目的や戦略について指示を与えるのは「指示(Direct)」のプロセスであり、モニタではない。
• イ戦略的目的の達成を評価可能にするプロセスが「モニタ」に該当し、これが正解。
• ウ独立した監査やレビューを委託するのは「保証(Assure)」のプロセスで、モニタではない。
• エ利害関係者と情報を交換するのは「コミュニケーション」のプロセスであり、モニタではない。