ITパスポート 2017年 秋期 問80

ISMS適合性評価制度において、組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. ISMS認証が何を示すかを押さえる。
   • ISMS = Information Security Management System（情報セキュリティを管理する仕組み）
   • 認証は「仕組み（管理システム）が規格に適合している」と第三者が審査で認めたことを示す。
2. 各選択肢（a, b, c）が「仕組みの存在・適合」について述べているか、「効果や排除」など証明できないことを述べているかを見分ける。
   • 認証で確実に言えるのは「仕組みがある・審査で適合と判断された」ことだけ。
3. 「だけ（only）」という条件に注意する。余計な項目が含まれている選択肢は除外する。

選択肢別の誤答解説

• ア: a
  • 誤りの可能性：a が「（認証で判断できない）対策の完全性」などであれば、認証からは判断できないため不正解になります。
  • 要点：認証＝仕組みの適合確認、ではないことをチェック。
• イ: b（正解）
  • 正しい理由：b が「ISMSが導入され、審査で適合とされた」ことを述べているなら、認証から確実に判断できます。認証はまさにこれを示します。
• ウ: b, c
  • 誤りの理由：b は正しいが、c が「運用の完全性や脅威の不存在」など認証だけでは判断できない内容だと、組み合わせになっているため「だけ」には当たりません。余分なものが含まれている場合は不正解です。
• エ: c
  • 誤りの理由：c が認証からは判断できない内容（完全な安全や事故の未発生など）であれば不正解です。認証は「適合性」を示すに過ぎません。

よくある誤解

1. 「認証 = セキュリティが完璧」
   • 誤りです。認証は仕組み（マネジメント）が規格に合っているかを示すだけで、脅威が完全に無いことや常に安全であることを保証するものではありません。
2. 「認証は一度取れば永続的に有効」
   • 誤りです。認証後も定期の監査（サーベイランス）があり、維持されなければ認証は取り消されることがあります。
3. 「認証範囲は組織全体に自動適用される」
   • 誤りです。認証は『スコープ（範囲）』が明示されます。スコープ外の業務や拠点については認証の対象外です。

補足コラム

• ISO/IEC 27001（または日本規格のJIS Q 27001）は、情報セキュリティに関するマネジメントシステムの国際標準です。企業は「方針の策定」「リスクアセスメント（危険の評価）」「対策の実施・運用」「監査・改善」といったPDCA（Plan-Do-Check-Act）サイクルに基づいて運用する必要があります。認証はその運用や文書化が規格に合っているかを第三者が評価した結果です。
• 認証を持つ組織でも、定期的な見直しや訓練、内部監査が重要です。認証は出発点であり、継続的な改善が求められます。

FAQ