情報セキュリティ
基本情報技術者試験｜B社はISMS認証の取得に向け適用宣言書を作成している。標準の管理策一覧のうち『開発環境のセキュリティ』に関する…
B社はISMS認証の取得に向け適用宣言書を作成している。標準の管理策一覧のうち『開発環境のセキュリティ』に関する管理策を、自社は開発業務を一切行わず外部に委託していないという理由で適用対象外とした。適用宣言書におけるこの取扱いとして、最も適切なものはどれか。
ア外したものは、なぜ外したかの判断根拠を文書に残しておく。
イ標準に挙がる管理策は全件を採用対象とし除外は一切認めない。
ウ外したものは触れず、採る管理策だけを宣言書に並べておく。
エ採否は内部監査の結果が出てから事後的に確定すればよい。
正解
ア．外したものは、なぜ外したかの判断根拠を文書に残しておく。
適用宣言書（SoA）は、リスクアセスメント結果に基づき選定した管理策と、適用しない管理策およびその除外理由を一覧で示す文書である。自社に開発業務が存在しないという根拠を明記して当該管理策を除外する取扱いは、適用宣言書の趣旨に合致する。
?選択肢ごとの解説
ア ○適用宣言書（SoA）は、リスクアセスメント結果に基づき選定した管理策と、適用しない管理策およびその除外理由を一覧で示す文書である。自社に開発業務が存在しないという根拠を明記して当該管理策を除外する取扱いは、適用宣言書の趣旨に合致する。
イ ×管理策は自組織の状況に応じて取捨選択でき、該当業務がなければ正当な理由を付して除外できるため、全件一律適用を強制する考えは適切でない。
ウ ×適用宣言書は適用しない管理策とその理由も含めて記載することで網羅性と判断根拠を示す文書であり、適用分のみの列挙では要件を満たさない。
エ ×管理策の選定はリスクアセスメントに基づき計画段階で確定すべきもので、内部監査の結果を待って事後に決めるという順序は不適切である。
情報セキュリティの他の問題
C社では、情報セキュリティリスクの洗い出しを担当者が思いつくままに列挙していたため、部署や情報資産によって洗い出しの深さにば…D社では特定したリスクについて、対応の優先順位を付けるための分析を行おうとしている。担当者から『各リスクの大きさをどう見積も…E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべてに対応する予…F社は、あるリスクに対し技術的・運用的な低減策を実施した結果、リスクレベルが受容基準を下回る水準まで下がった。それでもなお、…G社の情報セキュリティ文書は、経営層が定めた『当社は情報資産を適切に保護する』という基本方針と、『パスワードは規定の方法で管…H社では全社員に同一内容のセキュリティeラーニングを年1回実施しているが、開発者からは『業務に直結する内容が乏しい』、新入社…I社では情報資産を機密度に応じて『極秘・社外秘・公開』の三段階に格付けする制度を整えた。次の運用として、格付け制度を実効ある…J社は新たにクラウド型の業務システムを外部事業者へ委託するにあたり、複数の候補事業者から1社を選定しようとしている。委託先の…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0134