ITパスポート 2013年 春期 問71

情報セキュリティにおけるリスクマネジメントに関する記述【ITパスポート 解説】

正解の理由

• リスクマネジメント（Risk Management：危険を管理すること） — 発生し得る問題を特定し、評価し、対策を講じる一連の活動。
• 情報セキュリティマネジメントシステム（ISMS: Information Security Management System：情報を守るための組織的な仕組み） — 組織全体で情報セキュリティを管理する枠組み。

解法ステップ

1. 問題文で重要な語句（「リスクマネジメント」「組織」など）を見つける。
2. 「リスクマネジメントは誰が担当するか？」という観点で選択肢を比較する。
3. 組織全体で継続的に行う性質（トップの関与、業務への組込）を満たす選択肢を選ぶ。
4. 業務から切り離す、あるいは一部の担当者だけに任せる記述は誤りと判断して消去する。

選択肢別の誤答解説

• ア: 最終責任者は、現場の情報セキュリティ管理担当者の中から選ぶ。
  誤り。最終責任者は経営層（会社の意思決定者）が負うのが基本です。例：情報セキュリティの方針決定や資源配分は経営判断を伴うため、経営トップが責任を持ちます。現場担当者は実行責任者や実務担当です。
• イ: 組織の業務から切り離した単独の活動として行う。
  誤り。リスクマネジメントは業務プロセスに組み込むことが重要です。業務から独立させると、実際の業務に合わない対策になりやすく、運用されなくなる恐れがあります。
• ウ: 組織の全員が役割を分担して、組織全体で取り組む。
  正しい。経営層の主導で方針を定め、各部署・個人がそれぞれの役割（ポリシー遵守、リスクの報告、対策の実施など）を担うことが適切です。ISMS の考え方とも合致します。
• エ: 一つのマネジメントシステムの下で各部署に個別の基本方針を定め、各部署が独立して実施する。
  誤り。一つのISMSの下で共通の基本方針を持ちつつ、各部署は業務に応じた実施計画を作るのが望ましいです。各部署が完全に独立すると方針の整合性が取れず、全社的な統制が失われます。

よくある誤解

1. 「情報セキュリティはIT部門だけの仕事」
   → 実務でのデータ扱い、メール運用、設備管理など多くは現場社員の行動に依存します。全員の協力が必要です。
2. 「担当者を決めれば経営層は関与しなくてよい」
   → 経営層の関与（資源配分、方針決定）がなければ必要な対策が実施されません。最終責任は経営が負います。
3. 「部署ごとに勝手に方針を作れば効率的」
   → 部署ごとの独自運用は全社的な整合性を欠き、リスク評価やインシデント対応が混乱します。

補足コラム

• 役割の例
  • 経営層（トップ）: 全社方針の決定、資源割当て、最終責任。
  • CISO（Chief Information Security Officer：最高情報セキュリティ責任者）: 情報セキュリティ全体の推進・調整役。
  • リスクオーナー: 特定の業務や情報資産の責任者。
  • 現場従業員: 日常のルール遵守や異常の報告。
• 実務の流れ（簡単なチェックリスト）
  1. 情報資産の洗い出し（何を守るか）
  2. リスクアセスメント（Risk Assessment：どのリスクがどれだけ問題かを評価）
  3. 対策の決定と実施（防止策、検出策、対応策）
  4. モニタリングとレビュー（定期的に見直す） — PDCA（Plan-Do-Check-Act：計画→実行→評価→改善）サイクルで継続する。
• 規格の例
  • ISO/IEC 27001（情報セキュリティ管理に関する国際規格）を参考にする組織も多いです。ISO/IEC 27001 は ISMS の枠組みを定めています。

FAQ