情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問6: JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣

正解

イ. 情報セキュリティリスク対応に必要な管理策を JIS Q 27001:2014 附属書 A と比較した結果を基に，適用宣言書を作成する。

正答率 77.8%（45人中 35人が正解）

問題の解説

本問は ISMS における適用宣言書の作成手順を問うている。JIS Q 27001 では、リスク対応に必要な管理策を決定し、それを附属書 A の管理策と比較して見落としがないか検証した上で適用宣言書を作成すると規定しており、正解はイである。

選択肢ごとの解説

• ア誤り。適用宣言書はリスク対応計画より前に、管理策と附属書 A の比較に基づいて作成される。
• イ正しい。必要な管理策を附属書 A と比較し、その結果（採否と理由）を基に適用宣言書を作成する。
• ウ誤り。リスク対応の選択肢の選定は適用宣言書の作成より前の段階で行う。
• エ誤り。リスクの特定はリスクアセスメントの最初の段階で行うものであり、適用宣言書作成後ではない。