基本情報技術者 2010年 春期 午前（科目A） 問80

ISMS確立手順の順序関係【午前解説】

正解の理由

解法ステップ

1. 設問の各項目が「何を表すか」を簡潔に理解する（例：①は適用宣言書＝文書、②は管理策の選択＝決定、③は分析・評価＝情報収集）。
2. 順序の論理依存関係を考える（文書化すべきは「結果」であり、結果を出すには評価→選択が必要）。
3. 選択肢で論理順序が一致するものを選ぶ（評価→選定→文書化 に当てはまるのは ③→②→①＝エ）。

選択肢別の誤答解説

• ア: ①→②→③ — 適用宣言書を最初に作る順序は誤り。適用宣言書は管理策選定の結果を記載する文書です。
• イ: ①→③→② — 適用宣言書を出発点にした後で評価→選定とするのは順序が不適切で、文書の整合性が取れません。
• ウ: ②→③→① — 管理策を選んだ後にリスク評価をするのは逆で、選定の根拠が欠落します。
• エ: ③→②→① — 正解。リスク評価で根拠を得て管理策を選定し、その選定結果を適用宣言書に記録します。

よくある誤解

• 「適用宣言書を最初に作る」と思い込む誤解：適用宣言書は選定した管理策の記録であり、事前に作成すると説明責任が果たせません。
• 「管理策を先に決めてから評価すれば効率的」と考えるミス：管理策の妥当性はリスク評価に依存するため、順序を逆にすると過剰対策や不足対策を招きます。
• リスク分析とリスク対応を同義と混同する誤り：分析・評価は現状把握、対応はその後の意思決定で役割が異なります。

補足コラム

• 適用宣言書（SoA）は、採用した管理策と採用しなかった管理策の一覧、及びそれぞれの採用／不採用の理由を明示する文書です。JIS Q 27001:2006 の実務では、これが監査で最も重視される出力の一つになります。
• ISO/IEC 27001 の後続版（2013 版など）でも同様の論理（リスクアセスメント→リスク処理→文書化）は維持されています。リスク評価は影響度と発生確率の評価を含み、残留リスクの判断も重要です。

FAQ