管理策とは？

管理策の意味

リスクを低減するために実施する具体的な対策。技術的対策（アクセス制御など）、組織的対策（規程整備など）、人的対策（教育など）、物理的対策（入退室管理など）に大別される。

管理策の具体例

「重要書類を施錠保管する」は物理的管理策、「アクセス権限を職務に応じて設定する」は技術的・組織的管理策、「セキュリティ研修を実施する」は人的管理策にあたる。

管理策は試験でどう引っ掛けられる？

管理策はリスク対応を実現する手段であって、リスク対応の選択肢（低減・回避・移転・受容）そのものではない。またJIS Q 27001附属書Aの管理策は候補の一覧であり、全部を実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよい。

管理策が出た過去問

• “システム監査基準”における，組織体がシステム監査を実施する目的はどれか。

  正解：情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。

  要点：システム監査はコントロールを評価しITガバナンスに寄与する

  システム監査基準では、情報システムに関わるリスクに対するコントロールが適切に整備・運用されているかを評価し、改善へつなげることを目的としている。その結果として、組織のITガバナンスの実現に寄与することが位置付けられている。経営戦略の策定や技術力の向上そのものは監査の目的ではない。

  出典：平成28年度 春期 基本情報技術者試験 午前 問60（IPA）

• ソフトウェアのパッチの適用において，システムに不具合が発生するリスクを低減するコントロールを監査する際のチェックポイントはどれか。

  正解：本稼働前にシステムの動作確認を十分に実施していること

  要点：パッチは本稼働前の十分な動作確認で不具合リスクを下げる

  パッチの適用は既存機能への影響が避けられず、適用後に不具合が表面化する危険がある。これを抑えるコントロールは、本稼働前に検証環境で十分な動作確認を行い、問題がないと確かめたうえで適用することである。監査ではその手続と実施記録の有無を確認する。

  出典：平成28年度 春期 基本情報技術者試験 午前 問61（IPA）

• システムに関わるドキュメントが漏えい，改ざん，不正使用されるリスクに対するコントロールを監査する際のチェックポイントはどれか。

  正解：ドキュメントの機密性を確保するための対策を講じていること

  要点：漏えい・改ざんのリスクには機密性確保策の有無を確認する

  設問が挙げているリスクは、漏えい・改ざん・不正使用というドキュメントの機密性と完全性に関わるものです。したがって監査のチェックポイントは、保管場所の施錠やアクセス権限の設定など、機密性を確保する対策が講じられているかどうかになります。更新の遅れや標準化の有無は、正確性や品質に関するチェック項目であり、リスクの内容と対応しません。

  出典：平成29年度 春期 基本情報技術者試験 午前 問59（IPA）

• リスク対応のうち、リスクファイナンシングに該当するものはどれか。

  正解：システムが被害を受けるリスクを想定して、保険を掛ける。

  要点：保険など資金面の備えはリスクファイナンシング

  リスク対応は、損失そのものの発生や大きさを技術的・物理的に抑えるリスクコントロールと、損失が生じたときの資金面を手当てするリスクファイナンシングに大別される。保険を掛ける行為は、被害が起きた場合の金銭的な補填を用意するものなので後者に当たる。自己資金を積み立てておく方法も同じ分類である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問40（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…

  正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO

  要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO

  RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）