情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問08
問題文
JIS Q 27014:2015（情報セキュリティガバナンス）における、情報セキュリティガバナンスの範囲とITガバナンスの範囲に関する記述のうち、適切なものはどれか。
選択肢
ア：情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。（正解）
イ：情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複せず、それぞれが独立している。
ウ：情報セキュリティガバナンスの範囲はITガバナンスの範囲に包含されている。
エ：情報セキュリティガバナンスの範囲はITガバナンスの範囲を包含している。
🔒 解説は解答すると表示されます
情報セキュリティとITガバナンスの範囲【情報セキュリティマネジメント解説】
正解の理由
JIS Q 27014:2015 に沿うと、情報セキュリティガバナンスとITガバナンスはそれぞれ目的と対象が異なるため、範囲が重複することがあります。情報セキュリティガバナンスは組織全体の情報（紙文書や人的プロセスも含む）の機密性・完全性・可用性を経営レベルで確保する仕組みです。一方、ITガバナンスは情報技術（IT：Information Technology）を使って組織目標を達成するための意思決めや管理（IT投資・運用・サービス提供など）を指します。よって、ITに関するセキュリティ課題は両者の関心事になり得るため、範囲は重複する場合があると説明でき、選択肢の ア が正しい理由になります。
（用語補足）
- 情報セキュリティガバナンス：組織が情報の保護を適切に統制し、経営戦略と整合させる仕組み。JIS の考え方に近い。
- ITガバナンス：IT の利用と管理が組織目標に貢献するかを監督する仕組み。
解法ステップ
- 問題が問うのは「範囲の関係」なので、まず両者の「対象」と「目的」を明確にする。
- 対象の重なり（例：ITシステム上のデータは情報セキュリティの対象であり、ITガバナンスの対象でもある）を考える。
- 「完全に独立」や「一方がもう一方に包含される」といった極端な選択肢が論理的に成立するかを検証する。
- 上の検討から「重複する場合がある（重なる領域が存在する）」が最も現実に即していると判断する。
選択肢別の誤答解説
- ア: 正解。前述の通り、IT上の情報管理は両方の関心事項になり得るため重複が生じる。
- イ: 誤り。完全に独立しているとすると、IT上の情報セキュリティ問題（例：データ漏えい）はどちらのガバナンスにも関係しないことになり現実と合わない。
- ウ: 誤り。情報セキュリティガバナンスが ITガバナンスに完全に包含されるという主張は、紙の文書や人的プロセスなど非IT領域の情報保護を説明できない。
- エ: 誤り。逆に ITガバナンスが情報セキュリティガバナンスに包含されるというのは、IT 投資やサービスマネジメント全体を情報セキュリティの下に置くことになるが、IT の利用目的（業務効率や投資回収など）は情報セキュリティの範疇だけで扱えない。
よくある誤解
- 情報セキュリティ＝ITセキュリティと考える
→ 情報セキュリティは紙文書・人的手続き・物理的施錠なども含みます。ITはその一部です。 - ガバナンスは現場の細かい運用（パスワード管理など）だけを指すと考える
→ ガバナンスは経営レベルの方針や責任範囲の決定を指し、運用ルールはその下位概念です。
補足コラム
現場イメージ：総務担当が紙の給与台帳の保管ルールを作る一方で、経理が使う会計システムのアクセス制御はIT部門で決められることがあります。情報セキュリティガバナンスは「どの情報をどのレベルで守るか」を経営が決め、ITガバナンスは「ITをどう使って業務目標を達成するか」を経営が監督する。実務では、両者の委員会や責任者を横断的に調整する仕組み（例：セキュリティ委員会＋IT戦略委員会の連携）が重要です。
補助フレームワーク：ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は情報セキュリティの管理体系を作る枠組みです。ITガバナンスでよく参照される COBIT（Control Objectives for Information and Related Technologies：IT管理フレームワーク）などと連携させると実務で使いやすくなります。
FAQ
Q1. 情報セキュリティガバナンスとITガバナンスはどちらが「上位」ですか？
A1. 一概に上位・下位とは言えません。組織によって経営目標や責任の切り方が異なるため、重なり合う部分では協議・役割分担が必要になります。
A1. 一概に上位・下位とは言えません。組織によって経営目標や責任の切り方が異なるため、重なり合う部分では協議・役割分担が必要になります。
Q2. 小さな会社ではどのように運用すればよいですか？
A2. 経営者が情報保護の方針を決め（情報セキュリティガバナンス）、ITの使い方や運用ルールは現場や外注先と協力して決める（ITガバナンス）。委員会は小規模でも、責任と手順を文書化することが重要です。
A2. 経営者が情報保護の方針を決め（情報セキュリティガバナンス）、ITの使い方や運用ルールは現場や外注先と協力して決める（ITガバナンス）。委員会は小規模でも、責任と手順を文書化することが重要です。
Q3. 重複する領域があると「責任のなすり付け」が起きませんか？
A3. 起きやすいので、重複領域ごとに主担当（責任者）と副担当（連絡窓口）を明確にし、インシデント時のエスカレーション経路を決めておくとよいです。
A3. 起きやすいので、重複領域ごとに主担当（責任者）と副担当（連絡窓口）を明確にし、インシデント時のエスカレーション経路を決めておくとよいです。
関連キーワード: 情報セキュリティガバナンス、ITガバナンス、JIS Q 27014、ISMS、COBIT、ガバナンスと管理、責任分担、経営レベル管理
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！