ITサービスマネージャ 2013年 午前2 問15

情報セキュリティ管理プロセス【午前2解説】

正解の理由

解法ステップ

1. 設問が尋ねている対象を確認します。ここでは、ITサービスマネジメント全般ではなく、情報セキュリティ管理プロセスに対する要求事項です。
2. 選択肢の内容を、セキュリティ方針・管理策への影響評価と結び付けます。
3. 変更要求が情報セキュリティに与える影響を評価するウを選びます。

選択肢別の誤答解説

• ア：潜在的な問題を減らすための予防処置に関する内容です。一般的な品質管理などで見られる考え方ですが、この設問で問われている情報セキュリティ管理プロセスの要求事項ではありません。
• イ：構成品目の原本を安全に保管する内容です。構成管理やリリース管理に関連する考え方であり、情報セキュリティ管理プロセスの要求事項とは異なります。
• ウ：変更要求が情報セキュリティ基本方針や管理策に及ぼす影響を評価する内容です。情報セキュリティ管理プロセスに合致します。
• エ：リスク、事業上の利益、技術的な実現可能性を考慮して変更を判断する内容です。変更管理に関する考え方であり、情報セキュリティへの影響評価を直接述べたものではありません。

よくある誤解

• セキュリティに関係しそうな選択肢なら正解だと思う
  「安全に保管する」などセキュリティに関連する内容でも、設問が対象とするプロセスに合わなければ正解とは限りません。
• 変更管理の要求事項と、情報セキュリティ管理の要求事項を同一視する
  変更管理では変更の承認やリスク評価などを扱います。ここでは特に、変更がセキュリティ方針や管理策に与える影響を評価する点が問われています。
• 変更が完了してからセキュリティを確認すればよいと思う
  変更の影響は、実施前に評価することが重要です。実施後の確認だけでは、セキュリティ上の問題を未然に防げない場合があります。

補足コラム

FAQ