情報セキュリティマネジメント 2019年 春期 午前（科目A） 問01
問題文
JIS Q 27001:2014（情報セキュリティマネジメントシステムー要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項としている組合せとして、適切なものはどれか。
選択肢
ア：
イ：
ウ：（正解）
エ：
🔒 解説は解答すると表示されます
マネジメントレビュー検討事項【情報セキュリティマネジメント解説】
正解の理由
JIS Q 27001:2014（情報セキュリティマネジメントシステム—要求事項。情報セキュリティ管理の国際規格の日本語版）における「マネジメントレビュー」（組織のトップがISMSの有効性を定期確認する会議）の入力事項には、前回のレビューで指示した処置の状況、内部監査（内部で行う監査：規程や運用が規格どおりかを点検する）の結果、発生した不適合（規格や規程に合わない事象）およびその是正処置（不適合を正すための対応）の状況が含まれます。したがって選択肢ウが正しい組合せです。
ポイントは、規格が求めるのは「前回からの経過・監査結果・不適合と是正処置の状況」といった運用と改善に関する実績情報であり、トップマネジメントが単に「目的を設定した」事実自体を列挙することは、規格の求めるレビュー入力とは異なるため、目的そのものを含む選択肢は不適切になります。
解法ステップ
- 問題文で問われている対象を確認：「マネジメントレビューで考慮すべき事項」。
- 規格の該当箇所（マネジメントレビューの入力項目。規格の条項9.3）を思い出すか参照する。
- 規格が挙げる「実績・監査・不適合・是正・改善案・リスク変化」などのキーワードと選択肢を照合する。
- 各選択肢がそのキーワードを満たすかを検証。該当する組合せを選ぶ。
※試験では「条文のキーワード」を覚えておくと確実です（例：前回レビューの処置、監査結果、不適合と是正処置、監視・測定の結果、改善提案など）。
選択肢別の誤答解説
-
ア：前回までの処置の状況・トップが設定した情報セキュリティ目的・内部監査の結果
解説：トップが「目的を設定した」という事実だけではなく、「目的の達成状況（達成度）」や「目的に対する実績」がマネジメントレビューの入力です。したがって「設定した」だけを列挙する選択肢は不十分で、誤りです。 -
イ：前回までの処置の状況・トップが設定した情報セキュリティ目的・発生した不適合及び是正処置の状況
解説：こちらも「目的を設定した」という表現が入っているため規格の意図と合いません。内部監査結果が欠けている点も問題です。マネジメントレビューでは内部監査結果は重要な入力です。 -
ウ：前回までの処置の状況・内部監査の結果・発生した不適合及び是正処置の状況
解説：前回からのフォローアップ、監査結果、不適合とその是正という「実績と改善」に関する情報がそろっており、規格の求める入力項目に合致します。よって正しい組合せです。 -
エ：トップが設定した情報セキュリティ目的・内部監査の結果・発生した不適合及び是正処置の状況
解説：内部監査・不適合の情報はあるものの、前回レビューで指示した処置の追跡（フォローアップ）が含まれていません。マネジメントレビューは継続的改善の場なので、前回の結果とその後の処置の状況を確認することが必須です。
よくある誤解
- 「目的を決めた＝マネジメントレビューの入力になる」と覚えてしまうこと
→ 誤り。重要なのは「目的の設定そのもの」よりも「目的達成の状況やパフォーマンス」です。 - 「監査」と「是正処置」を混同すること
→ 監査は問題を見つける活動、是正処置は見つかった問題を修正する対応です。両方を別々に扱う必要があります。
補足コラム
- 規格の条番号：マネジメントレビューに関する要求は ISO/IEC 27001 の「9.3」に対応します（JIS Q 27001:2014 も同様）。条文は「レビューの入力（何を検討するか）」と「レビューの出力（何を決めるか）」に分かれています。
- 覚え方メモ：前回のフォロー／監査結果／不適合と是正、これをセットで覚えると選択が楽になります（順に：前・監・不（ぜ））。
職場での運用イメージ：年に1回程度、経営層が出席する定例のレビュー会議で、前回の「指示」がどう実行されたか、内部監査で見つかった点、発生した不適合と対応状況を報告し、改善や資源要求を決定します。
FAQ
Q1. マネジメントレビューはどれくらいの頻度で行うべきですか？
A1. 規格は具体的な頻度を指定していません。「定期的に」かつ組織の状況に応じて十分に頻度設定することが求められます。一般的には年1回以上、重要な変更後には随時行います。
A1. 規格は具体的な頻度を指定していません。「定期的に」かつ組織の状況に応じて十分に頻度設定することが求められます。一般的には年1回以上、重要な変更後には随時行います。
Q2. 「内部監査の結果」とは何を報告するのですか？
A2. 内部監査（自己点検）の実施結果、指摘された不備の内容、重大性、推奨される対応や実施済みの対策の状況などをまとめて報告します。
A2. 内部監査（自己点検）の実施結果、指摘された不備の内容、重大性、推奨される対応や実施済みの対策の状況などをまとめて報告します。
Q3. 是正処置と予防処置の違いは？
A3. 是正処置は既に起きた不適合に対する対応（原因の除去）。予防処置は将来起きうる問題を未然に防ぐ対策です。規格では是正処置の報告が重要視されますが、予防に相当する改善提案もレビューで扱えます。
A3. 是正処置は既に起きた不適合に対する対応（原因の除去）。予防処置は将来起きうる問題を未然に防ぐ対策です。規格では是正処置の報告が重要視されますが、予防に相当する改善提案もレビューで扱えます。
関連キーワード: JIS Q 27001、マネジメントレビュー、内部監査、是正処置、不適合、ISMS、トップマネジメント、改善プロセス
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！