“政府情報システムのためのセキュリティ評価制度(ISMAP)管理基準(令和5年9月22日最終改定)”に関する記述のうち,適切なものはどれか。

選択肢

• アISMAP管理基準は,ガバナンス基準,マネジメント基準,管理策基準,監査基準の四つから構成されている。
• イガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。
• ウ管理策基準は,管理者が実施すべき事項として,情報セキュリティマネジメントの計画,実行,点検,処置及びリスクコミュニケーションに必要な事項を定めている。
• エマネジメント基準は,組織における情報セキュリティマネジメントの確立段階において,リスク対応方針に従って管理策を選択する際の選択肢を与えている。

正解と解説

正解：イ ガバナンス基準の実施主体は経営陣であり,情報セキュリティガバナンスのプロセスとして,評価,指示,モニタ,コミュニケーション及び保証の各プロセスが定められている。

ISMAP管理基準はガバナンス基準、マネジメント基準、管理策基準の三つで構成される。ガバナンス基準は経営陣が実施主体で、評価・指示・モニタ・コミュニケーション・保証の各プロセスを定めている。

選択肢ごとの解説

• ア監査基準を含む四構成という点が誤り。構成は三つ。
• イ正解。経営陣が主体で、評価・指示・モニタなどのプロセスを定める。
• ウ計画・実行・点検・処置といったマネジメントサイクルはマネジメント基準の内容。
• エ管理策の選択肢を与えるのは管理策基準であり、記述が入れ替わっている。

この問題に出た用語

• ISMAP
• CISO・情報セキュリティガバナンス
• 管理策

同じ分野の他の問題

• JPCERTコーディネーションセンター"CSIRTガイド(2021年11月30日)"では、CSIRTの機能をサービス対象…2025年度 春期 午前Ⅱ 問24
• サイバー攻撃に関する脅威に対処するために、非合法な手段を使わずに入手できる公開情報について、収集、分析及び活用が進んでい…2023年度 春期 午前Ⅱ 問25
• “政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。2022年度 春期 午前Ⅱ 問24
• 総務省及び経済産業省が策定した“電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）”を構成…2022年度 春期 午前Ⅱ 問23
• 2019年2月から総務省、情報通信研究機構（NICT）及びインターネットサービスプロバイダが連携して開始した“NOTIC…2021年度 春期 午前Ⅱ 問25