ITパスポート 2020年 秋期 問45

ITガバナンスの説明として、最も適切なものはどれか。【ITパスポート 解説】

正解の理由

• ガバナンス（governance）は「方向付けと監督」を意味します。
• ITガバナンスは、経営戦略とIT活動（投資・運用）が一致するようにする仕組みです。
• ですから、単にサービスを実施する（運用）や、セキュリティ対策を行うこと、第三者が評価することとは異なります。これらはITガバナンスがカバーする領域の一部や関連活動ですが、ガバナンスの定義そのものではありません。

解法ステップ

1. 問題文を読む：キーワードは「組織能力」「コントロール」「あるべき方向へ導く」など。これは「決める・監督する」役割を示します。
2. 選択肢を比較する：
   • 「サービスを実施する」＝運用／サービスマネジメント（ITSM）
   • 「第三者が評価する」＝監査（audit）
   • 「技術的・人的対策を組織的に行う」＝情報セキュリティ対策（ISMS等）
3. 経営レベルでの「方向付け」「コントロール」に該当するものが正解と判断する。
4. 正答候補が一つに絞れたら選ぶ。迷ったら「誰が主導するか（経営層か現場か）」で判断する。経営層が関与するものはガバナンスの可能性が高い。

選択肢別の誤答解説

• ア：正しい。ITガバナンスは経営とITをつなぎ、方針決定と監督を行う組織能力を指します。代表的なフレームワークにCOBIT（Control Objectives for Information and Related Technologies：情報と関連技術の統制目標）があります。
• イ：誤り。これは良質のITサービスを提供することを説明しています。ITサービスマネジメント（ITSM：Information Technology Service Management：ITサービスの提供と管理）やITIL（Information Technology Infrastructure Library：ITサービス管理のベストプラクティス）に当てはまる内容です。
• ウ：誤り。第三者が評価することは監査（監査／audit）です。内部監査や外部監査はガバナンスに役立ちますが、監査そのものは評価行為であり、ガバナンスの定義ではありません。
• エ：誤り。情報セキュリティを確保・維持するための対策や体制は情報セキュリティマネジメント（ISMS：Information Security Management System：情報セキュリティ管理の仕組み）に相当します。重要ではありますが、ガバナンス全体の定義とは異なります。

よくある誤解

1. ガバナンス = 管理（マネジメント）と混同する
   • 誤解：現場での業務や運用を行うことがガバナンスだと思う。
   • 実際：ガバナンスは「何を目指すか」を決め、管理（マネジメント）はその方針で実行・運用することです。簡単に言えば、ガバナンスは「決める・監督する」、マネジメントは「やる・管理する」です。
2. ガバナンスはセキュリティだけの話だと思う
   • 誤解：情報セキュリティの仕組みを作ればガバナンスは完了する。
   • 実際：セキュリティは重要な要素ですが、ガバナンスは戦略、投資、価値評価、リスク管理など幅広い領域を含みます。
3. 監査がそのままガバナンスだと思う
   • 誤解：第三者の評価（監査）を行えばガバナンスしている。
   • 実際：監査はガバナンスの一部で、機能しているかを検証する役割です。ガバナンス自体は監督・方針決定の枠組みを作ることです。

補足コラム

• 覚え方のコツ：「ガバナンス = 方向付けと監督」。短く覚えると選択肢の切り分けが楽になります。
• フレームワーク例：
  • COBIT（Control Objectives for Information and Related Technologies：情報ガバナンス向け） → ガバナンスのフレームワーク。
  • ITIL（Information Technology Infrastructure Library：ITサービス管理） → サービスの提供と管理に強い。
  • ISMS（Information Security Management System：情報セキュリティ管理） → セキュリティ対策の仕組み。
    これらはそれぞれ目的が違います。問題では「経営的な方向付け・コントロール」が問われている点に注目してください。
• 試験対策のコツ：設問で「誰が主導するか（経営か現場か）」を常に確認すると、ガバナンスとその他の概念を簡単に区別できます。

FAQ