情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問1: JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，トップマネジメントがマネジメントレビューで考慮しなければならない事項

正解

ウ. 前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

正答率 58.3%（36人中 21人が正解）

問題の解説

マネジメントレビューはISMSが適切・妥当・有効に機能しているかをトップマネジメントが定期的に評価する活動で、JIS Q 27001:2014 の箇条9.3はレビュー時の考慮事項（インプット）を規定している。規格は「前回までのマネジメントレビューの結果とった処置の状況」「内部監査の結果」「不適合及び是正処置の状況」などをインプットとして列挙する一方、情報セキュリティ目的の設定そのものはレビューのインプットではないため、これら3つを組み合わせたウが適切である。

選択肢ごとの解説

• ア「内部監査の結果」は正しいインプットだが、「トップマネジメントが設定した情報セキュリティ目的」はレビューで考慮すべきインプットには含まれないため誤り。
• イ「不適合及び是正処置の状況」は正しいインプットだが、「情報セキュリティ目的」が含まれており組合せとして適切でない。
• ウ「前回処置の状況」「内部監査の結果」「不適合及び是正処置の状況」はいずれも規格9.3が定めるレビューのインプットであり、正しい組合せである。
• エ「内部監査の結果」「不適合及び是正処置の状況」は正しいが、「情報セキュリティ目的」が含まれるため適切でない。