ITパスポート 2019年 春期 問72

ISMS導入効果の記述（a, bの語句選択）【ITパスポート 解説】

正解の理由

解法ステップ

1. ISMSの目的を思い出す：情報の「機密性、完全性、可用性（CIA）」を守ること。
2. 文中の「[　a　]マネジメントプロセス」を見て、ISMSで使われるマネジメントは何かを考える。ISMSでは「リスクマネジメント（risk management）」が中心である。
3. 残る空欄[b]はCIAの「完全性」に該当する。
4. よって a＝リスク、b＝完全性 → 選択肢は ウ。

選択肢別の誤答解説

• ア（a＝品質、b＝完全性）
  「品質マネジメントプロセス」は品質管理（ISO 9001など）の話で、ISMSの導入効果の説明にはそぐいません。ISMSは情報セキュリティの観点からリスクを管理します。
• イ（a＝品質、b＝妥当性）
  「妥当性」はデータや入力が意味的に正しいこと（validity）の意味合いで、ISMSの三要素（機密性・完全性・可用性）とは異なります。さらに「品質マネジメント」自体が対象外です。
• ウ（a＝リスク、b＝完全性）
  正答。ISMSではリスクマネジメントプロセスを適用して、機密性・完全性・可用性をバランス良く維持・改善し、リスクが適切に管理されているという信頼を利害関係者に与えます。
• エ（a＝リスク、b＝妥当性）
  aは正しい（リスク）。しかし bの「妥当性」はISMSの主要な三要素に含まれないため不正解です。

よくある誤解

1. 「完全性」と「妥当性」を混同する
   • 完全性（Integrity）は「データが改ざんされていない・正確であること」。妥当性（Validity）は「入力やデータが条件に合っていること（例：入力形式が正しい）」で、意味が異なります。
2. 「品質（Quality）」を選びたくなる理由
   • 「マネジメントプロセス」という言葉から品質管理（品質マネジメント）を連想する人が多いですが、ISMSの文脈では対象が「情報のリスク」である点に注意してください。
3. 「リスク」と言う語の扱い
   • 文は「[a]マネジメントプロセス」と続くため、aに入るのは単語として「リスク」で良く、「リスクマネジメント」と書かれていなくても文脈上問題ありません。

補足コラム

• ISMSの主要規格は ISO/IEC 27001（ISO27001とも呼ばれる）です。ここで示されるのが「情報セキュリティマネジメントシステム（ISMS）」の要求事項で、組織が情報の機密性・完全性・可用性を保つためにリスクを特定・評価・対応することが求められます。
• 覚え方のコツ（日本語）：機密性（き）・完全性（か）・可用性（や）→ 「きかや」では覚えにくいので、英語頭文字でCIA（シー・アイ・エー）と覚えるとテストでは便利です。

FAQ