情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問7: JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティを統治するために経営陣が実行するガバナンスプロセスのうちの“モニタ”はど

問題本文

JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティを統治するために経営陣が実行するガバナンスプロセスのうちの“モニタ”はどれか。

選択肢

• ア.情報セキュリティの目的及び戦略について，指示を与えるガバナンスプロセス
• イ.戦略的目的の達成を評価することを可能にするガバナンスプロセス
• ウ.独立した立場からの客観的な監査，レビュー又は認証を委託するガバナンスプロセス
• エ.利害関係者との間で，特定のニーズに沿って情報セキュリティに関する情報を交換するガバナンスプロセス

正解

イ. 戦略的目的の達成を評価することを可能にするガバナンスプロセス

解説

JIS Q 27014の情報セキュリティガバナンスでは、経営陣のプロセスとして評価・指示・モニタ・コミュニケーション・保証が定義される。このうち「モニタ」は、戦略的目的の達成度を経営陣が把握・評価できるようにするプロセスで、これがイ。指示は方向付け、保証は独立監査の委託、コミュニケーションは利害関係者との情報交換に当たる。実務では経営層がセキュリティKPIで状況を継続把握する活動に対応する。

選択肢ごとの解説

• ア.目的や戦略について指示を与えるのは「指示(Direct)」のプロセスであり、モニタではない。
• イ.戦略的目的の達成を評価可能にするプロセスが「モニタ」に該当し、これが正解。
• ウ.独立した監査やレビューを委託するのは「保証(Assure)」のプロセスで、モニタではない。
• エ.利害関係者と情報を交換するのは「コミュニケーション」のプロセスであり、モニタではない。