管理策とは？

管理策の意味

リスクを低減するために実施する具体的な対策。技術的対策（アクセス制御など）、組織的対策（規程整備など）、人的対策（教育など）、物理的対策（入退室管理など）に大別される。

管理策の具体例

「重要書類を施錠保管する」は物理的管理策、「アクセス権限を職務に応じて設定する」は技術的・組織的管理策、「セキュリティ研修を実施する」は人的管理策にあたる。

管理策は試験でどう引っ掛けられる？

管理策はリスク対応を実現する手段であって、リスク対応の選択肢（低減・回避・移転・受容）そのものではない。またJIS Q 27001附属書Aの管理策は候補の一覧であり、全部を実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよい。

管理策と関連する用語

• 適用宣言書

管理策が出た過去問

• 所属するグループ及び個人の属性情報によって、人事ファイルへのアクセスをコントロールするシステムがある。人事部グループの属性情報と、そこに所属する4人の個人の属性…

  正解：エ

  要点：個人設定が優先、未登録者だけグループ権限が適用される

  3ビットは左から参照・更新・追加削除を表し、個人に登録があればそれが優先、なければグループの権限が適用される。Aさん100は参照のみ、Bさん110は参照と更新、Cさん001は追加・削除のみで参照も更新も不可、Dさんは未登録なのでグループの110が適用され参照と更新が可能となる。よって参照可能はA・B・Dの3人、更新可能はB・Dの2人である。

  出典：平成21年度 春期 ITパスポート試験 問62（IPA）

• 事業戦略立案に関する記述。健康食品メーカのS社の企画部では、健康菓子事業の戦略立案を進めており、自社の状況を、SWOT分析での強み、弱み、機会、脅威に分類して認…

  正解：(1)をb、(2)をcに入れる

  要点：SWOTは内部か外部か、有利か不利かの2軸で分ける

  SWOT分析は、自社でコントロールできる内部環境か、そうでない外部環境かという軸と、有利か不利かという軸で状況を整理する。営業拠点数が他社より少ないのは自社の状態であり不利な面なので、内部環境かつ不利な面の区分に入る。競合他社の撤退は自社の外で起きた出来事であり有利に働くので、外部環境かつ有利な面の区分に入る。

  出典：平成22年度 春期 ITパスポート試験 問97（IPA）

• システム監査の内容として、適切なものはどれか。

  正解：組織体の情報システムに関わるリスク対策が適切に整備・運用されているかを、独立的な立場で検証すること

  要点：システム監査は独立した立場でリスク対策の整備・運用を検証する

  システム監査は、情報システムに関わるリスクの管理やコントロールが適切に整備され運用されているかを、被監査部門から独立した立場の監査人が客観的に点検・評価し、改善につなげる活動である。独立性と客観性が確保されていることが監査の前提となる。

  出典：平成24年度 秋期 ITパスポート試験 問35（IPA）

• システム監査の実施内容に関する記述のうち、適切なものはどれか。

  正解：情報システムのリスクに対するコントロールが適切に整備・運用されているかを、監査対象から独立した第三者が評価する。

  要点：システム監査は独立した第三者が統制の適否を評価する

  システム監査は、情報システムに関わるリスクへの統制（コントロール）が適切に整備され、意図したとおり運用されているかを、監査対象から独立した立場の者が点検・評価し、改善につなげる活動である。自分が作ったものを自分で確かめる行為は、独立性の要件を満たさないため監査とは呼べない。

  出典：平成25年度 春期 ITパスポート試験 問51（IPA）

• システム監査の説明として、適切なものはどれか。

  正解：情報システムのリスクに対するコントロールの整備状況、運用状況を検証又は評価する。

  要点：システム監査はITリスクの統制を検証・評価する活動

  システム監査は、情報システムに関わるリスクに対して適切な統制（コントロール）が整備され、意図したとおり運用されているかを、独立した立場で検証・評価し、改善を助言する活動である。特定の品質規格や環境規格への適合を見る審査とは目的が異なる。

  出典：平成26年度 秋期 ITパスポート試験 問45（IPA）