情報セキュリティマネジメント 2019年 春期 午前（科目A） 問08

情報セキュリティ目的の計画要素【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文が参照している規格は、ISO/IEC 27001 の「目的と計画」に関する条項（一般に6.2）。ここに何を決めるべきかが列挙されていることを思い出す。
2. 規格の要求内容を短くまとめると「実施事項」「責任者」「達成期限」「必要な資源」「結果の評価方法」が含まれる。
3. 選択肢を見て、規格に書かれていない語句（例：適用する管理策、必要なプロセス）を含むものを除外する。
4. 残るもののうち、規格に明示される組合せを含む選択肢が ア であるため選択する。

選択肢別の誤答解説

• ア（必要な資源及び結果の評価方法）
  → 正しい。規格が明確に「資源」と「評価方法」を計画項目に含めるよう求めています。
• イ（必要な資源及び適用する管理策）
  → 誤り。管理策（security controls）はリスク対応の検討で選ぶ対象ですが、目的達成計画で必ず「適用する管理策」を直接列挙することは規格のこの箇所の要求事項ではありません。
• ウ（必要なプロセス及び結果の評価方法）
  → 誤り。「必要なプロセス」は明示されていません。規格は「実施事項（what to do）」という表現を使い、必ずしも“プロセス”という語を要求しません。
• エ（必要なプロセス及び適用する管理策）
  → 誤り。上記と同様、規格の計画項目に「適用する管理策」は直接の列挙項目ではなく、「プロセス」も必須項目ではありません。

よくある誤解

• 「管理策（コントロール）を計画に必ず書くべき」と思い込む
  → 実際は目的達成計画ではまず何をするか・誰がするか・期限・資源・評価方法を定めます。管理策はリスクアセスメントや対応の文脈で選定・実施されます。
• 「評価方法は曖昧でよい」と考える
  → 測定可能性（可能ならば測定可能であること）が要求されます。曖昧だと達成が確認できず、改善（PDCA）が回りません。

補足コラム

• 実施事項：権限棚卸→不整合の修正→報告書作成
• 責任者：人事部のAさん（実務担当）、情報セキュリティ委員会（監督）
• 達成期限：yyyy/mm/dd
• 必要な資源：作業時間（延べ40人時）、専用ツール1本、外部監査1回の予算
• 結果の評価方法：全ユーザーのアクセス権レビュー率（%）と異常件数の減少で評価
  このように、計画は実務でそのまま使えるテンプレートに落とし込むと運用しやすくなります。

FAQ