JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、“ISMSの有効性に対する自らの貢献”及び“ISMS要求事項に適合しないことの意味”と、もう一つはどれか。

選択肢

• ア情報セキュリティ適用宣言書
• イ情報セキュリティ内部監査結果
• ウ情報セキュリティ方針
• エ情報セキュリティリスク対応計画

正解と解説

正解：ウ 情報セキュリティ方針

JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。

選択肢ごとの解説

• ア誤り。適用宣言書は文書化が求められる情報だが、認識事項ではない。
• イ誤り。監査結果はトップマネジメントへの報告対象で、全員の認識事項ではない。
• ウ正解。箇条7.3が挙げる認識事項の一つ。
• エ誤り。リスク対応計画は策定・実施の対象であり、認識事項として列挙されていない。

この問題に出た用語

• 不適合
• 文書化した情報
• ISMS
• JIS Q 27001
• 適用宣言書
• 情報セキュリティ方針（3階層）
• 内部監査

同じ分野の他の問題

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問1
• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリ…2019年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2018年度 秋期 午前 問37
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38