ITパスポート 2026年 問100

ISMSの活動に関する記述として、最も適切なものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文でキーとなる語を探す：「ISMS」→「情報セキュリティ」「情報資産」「リスク」などを期待。
2. 各選択肢中に上記キーワードが含まれているか確認する。
3. ISMS の目的（情報資産の保護、リスク管理、継続的改善）と一致する選択肢を選ぶ。
4. 他の選択肢が別分野（品質管理やサービス管理、成熟度評価など）を示す場合は除外する。

選択肢別の誤答解説

• ア: 「企業のコスト削減や製品の品質、サービスの改善などのために、業務プロセスを改善する。」
  • 説明：これは業務プロセス改善（BPR：Business Process Reengineering、あるいはTQM：Total Quality Management）に関する記述です。目的が「コスト削減や品質改善」であり、ISMS の「情報資産を守る」目的とは異なります。
• イ: 「顧客の満足度を高めるために、ITサービスの品質を継続的に改善する。」
  • 説明：これは IT サービス管理（ITSM：Information Technology Service Management）や ITIL（Information Technology Infrastructure Library）の継続的サービス改善に近い説明です。ISMS はサービス品質向上よりも情報の機密性・完全性・可用性を守ることが中心です。
• ウ: 「情報資産を洗い出し、リスクの特定と分析及び評価を行い、情報資産を管理する。」
  • 説明：ISMS の基本活動を正確に示しています。リスクアセスメント（識別→分析→評価）とその後の管理（リスク対応策の実施）が含まれており、ISMS の核となる記述です。
• エ: 「製品とサービスの開発プロセスの成熟度を評価し、改善する。」
  • 説明：これはプロセス成熟度モデル（例：CMMI：Capability Maturity Model Integration）に関する記述です。ISMS の主目的とは異なります。

よくある誤解

1. ISMS は「ITシステムだけ」を守る仕組みだと思う
   • 実際は「情報資産」（紙資料、人的ノウハウ、サプライヤー情報など）全体を対象にします。IT は重要ですが範囲はもっと広いです。
2. ISMS は単なる「ルール作り」だと思う
   • ルール作成だけでなく、リスク評価・対策実施・監視・改善というPDCAで継続的に運用する点が重要です。
3. 「情報セキュリティ＝罰則や厳しい制約」と考える
   • 守るべき情報の重要度に応じたバランスの取れた対策（実用性のある管理）が求められます。

補足コラム

• リスク評価の考え方（簡単な式）
  リスクは一般に次のように表現できます：
  $リスク=発生確率\times 影響度$
  例：顧客データが流出する確率が高く、影響度も大きければ対応優先度は高くなります。
• ISO/IEC 27001 は ISMS の国際規格です。規格に従うと、組織はどのように情報資産を特定してリスク評価・管理するかを文書化し、継続的に改善することが求められます。
• 実務の流れ（簡略）
  1. 情報資産の洗い出し（何を守るか）
  2. リスクの特定（何が起こりうるか）
  3. リスクの分析・評価（どれくらい深刻か）
  4. 対策の選定と実施（管理）
  5. 監視と改善（PDCA）

FAQ