情報セキュリティマネジメント試験 過去問解説
適用宣言書の作成とは？情報セキュリティマネジメント試験 平成30年度秋期 午前 問6を解説
情報セキュリティマネジメント試験 平成30年度秋期 午前 問6は、適用宣言書の作成に関する理解を問う問題です。検索から入っても、問題文、選択肢、正解、解説、各選択肢がなぜ違うかをこのページだけで確認できます。
問題文
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち，適切なものはどれか。
この問題の出題ポイント
- 適用宣言書の作成の定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
選択肢
- ア承認された情報セキュリティリスク対応計画を基に，適用宣言書を作成する。
- イ情報セキュリティリスク対応に必要な管理策を JIS Q 27001:2014 附属書 A と比較した結果を基に，適用宣言書を作成する。正解
- ウ適用宣言書を作成後，その内容を基に情報セキュリティリスク対応の選択肢を選定する。
- エ適用宣言書を作成後，その内容を基に情報セキュリティリスクを特定する。
正解
イ: 情報セキュリティリスク対応に必要な管理策を JIS Q 27001:2014 附属書 A と比較した結果を基に，適用宣言書を作成する。
解説
本問は ISMS における適用宣言書の作成手順を問うている。JIS Q 27001 では、リスク対応に必要な管理策を決定し、それを附属書 A の管理策と比較して見落としがないか検証した上で適用宣言書を作成すると規定しており、正解はイである。
なぜ他の選択肢が違うのか
ア
誤り。適用宣言書はリスク対応計画より前に、管理策と附属書 A の比較に基づいて作成される。
イ（正解）
正しい。必要な管理策を附属書 A と比較し、その結果（採否と理由）を基に適用宣言書を作成する。
ウ
誤り。リスク対応の選択肢の選定は適用宣言書の作成より前の段階で行う。
エ
誤り。リスクの特定はリスクアセスメントの最初の段階で行うものであり、適用宣言書作成後ではない。
解き方の整理
適用宣言書の作成の問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。
関連問題
前後の問題
復習を続ける
間違えた問題、苦手タグ、模試履歴を保存して復習する導線を用意しています。広告なしPro、弱点分析、復習リマインダーは段階的に提供予定です。