JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）では，組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち，適切なものはどれか。

選択肢

• ア承認された情報セキュリティリスク対応計画を基に，適用宣言書を作成する。
• イ情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。
• ウ適用宣言書を作成後，その内容を基に情報セキュリティリスク対応の選択肢を選定する。
• エ適用宣言書を作成後，その内容を基に情報セキュリティリスクを特定する。

正解と解説

正解：イ 情報セキュリティリスク対応に必要な管理策をJIS Q 27001:2014附属書Aと比較した結果を基に，適用宣言書を作成する。

ISMSでは、リスクアセスメントの結果から必要な管理策を決定し、それを附属書Aの管理策一覧と比較して見落としがないかを検証したうえで適用宣言書を作成する。適用宣言書には、適用する管理策とその理由、除外した管理策とその正当化理由を記載する。したがって適用宣言書は、リスク特定やリスク対応の選択肢選定より後の成果物であり、リスク対応計画の作成はさらにその後になる。

選択肢ごとの解説

• アリスク対応計画は適用宣言書を踏まえて作られるもので、順序が逆である。
• イ正しい。必要な管理策と附属書Aを比較し、見落としがないか確かめた結果を適用宣言書にまとめる。
• ウリスク対応の選択肢の選定は適用宣言書の作成より前の工程である。
• エリスクの特定はリスクアセスメントの最初の段階であり、適用宣言書より前に行う。

この問題に出た用語

• ISMS
• JIS Q 27001
• 適用宣言書
• 管理策

同じ分野の他の問題

• JIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）において、不適合が発生した場合にその原因を…2022年度 公開問題 科目A・B 問3
• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を…2019年度 秋期 午前 問5
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、情報セキュリティ目的をどのよ…2019年度 春期 午前 問8
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメ…2019年度 春期 午前 問1
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における，トップマネジメントに関する記述と…2018年度 秋期 午前 問2