ITパスポート 2015年 春期 問81

ISMSの特徴に関する問題【ITパスポート 解説】

正解の理由

• ISMSは一度作って終わりではなく、PDCAで継続的に改善します（a が正しい）。
• 経営層の方針表明や支援が不可欠で、トップダウンで組織的に進められます（c が正しい）。

解法ステップ

1. 問題文のキーワードに注目する。ここでは「改善と継続」「経営層を頂点」「現場が主導」「目標達成で終了」。
2. ISMSの本質を思い出す。ISMSは情報を守るための管理の仕組みで、継続的改善（PDCA）と経営の支援が特徴。
3. 各記述をISMSの特徴と照らし合わせる：
   • 「継続する」→ISMSの重要要素（OK）
   • 「現場が主導」→誤り（経営の関与が必要）
   • 「経営層を頂点」→OK
   • 「目標達成で終了」→誤り（改善は継続）
4. 正しい組合せを選ぶ。a と c を含む選択肢が イ。

選択肢別の誤答解説

• ア: a, b
  a は正しいが、b「現場が主導するボトムアップ活動である」は誤り。ISMSは経営層の方針と支援が必要で、組織的な推進（トップダウン）的側面が強い。したがってアは不正解。
• イ: a, c
  a（継続的改善）も c（経営層が頂点の組織的取組み）もISMSの本質を表すため正解。ここで示したのが最適な組合せです。
• ウ: b, d
  b は先述の通り誤り。d「目標と期限を定めて活動し、目標達成によって終了する」も誤りです。ISMSは期限を区切る単発のプロジェクトではなく、PDCAで継続的に改善する仕組みです。よってウは不正解。
• エ: c, d
  c は正しいが、d は誤り。目標設定は行いますが、目標達成で活動を終えるものではなく、達成後も見直しと改善を続けます。よってエは不正解。

よくある誤解

1. 「ISMSは現場の改善活動（ボトムアップ）だ」
   → 現場の意見や運用は重要ですが、ISMSは経営層による方針と責任を根幹に、組織全体で管理する仕組みです。トップの関与がないと運用は続きません。
2. 「目標を達成したらISMSは終わる」
   → ISMSは一度の達成で完了するプロジェクトではありません。脅威や業務は変わるため、PDCA（Plan-Do-Check-Act：計画・実行・点検・改善）で継続的に改善します。
3. 「技術だけの話だ」
   → 情報セキュリティは技術（防御）だけでなく、方針・組織・人の教育・手順などの管理面も含みます。

補足コラム

• ISMSの国際規格には ISO/IEC 27001（International Organization for Standardization / International Electrotechnical Commission：情報セキュリティ管理の国際標準）があり、これに基づく認証を取得する組織も多いです。認証取得は外部に対する信頼の証明になりますが、取得が目的化すると本来の「継続的改善」が疎かになることがあるので注意が必要です。
• 実務上の要点：経営層の方針表明（トップのコミットメント）、リスクアセスメント（リスクの洗い出しと評価）、運用ルールの整備、教育、監査と是正処置の実行、これらを巡回的に行うことが重要です。

FAQ