ITストラテジスト 2022年 午前2 問24
問題文
“政府情報システムのためのセキュリティ評価制度（ISMAP）管理基準”に関する記述のうち、適切なものはどれか。
選択肢
ア：ISMAP管理基準は、ガバナンス基準、マネジメント基準、管理策基準、監査基準の四つから構成されている。
イ：ガバナンス基準の実施主体は経営陣であり、情報セキュリティガバナンスのプロセスとして、評価、指示、モニタ、コミュニケーション及び保証の各プロセスが定められている。（正解）
ウ：管理策基準は、管理者が実施すべき事項として、情報セキュリティマネジメントの計画、実行、点検、処置及びリスクコミュニケーションに必要な事項を定めている。
エ：マネジメント基準は、組織における情報セキュリティマネジメントの確立段階において、リスク対応方針に従って管理策を選択する際の選択肢を与えている。
🔒 解説は解答すると表示されます
ISMAP管理基準【午前2解説】
正解の理由
選択肢の中で正しいのは イ です。ISMAP のガバナンス基準は、組織の経営層が実施主体となって情報セキュリティガバナンスを確立・維持することを目的としており、そのプロセスとして「評価（assess）」「指示（direct）」「モニタ（monitor）」「コミュニケーション（communicate）」「保証（assurance）」が明確に定められています。これらはガバナンスの基本的な役割（現状把握と評価、方針提示と指示、実行状況の監視、利害関係者との連携、独立した保証）と一貫しているため、イ は正答です。
解法ステップ
- 問題文のキーワードを確認：「ISMAP」「管理基準」「ガバナンス／マネジメント／管理策 等」
- 各選択肢が示す役割（経営層が実施するか、PDCAや管理策の内容か、基準の対象フェーズか）を把握する。
- ガバナンス＝経営層の責任であり、評価・指示・モニタ・コミュニケーション・保証が含まれる点を照合する。
- 他選択肢が示す内容（管理策は具体的対策群、マネジメントはPDCAや方針・体制の整備）が実務上の定義と合致するかで誤りを排除する。
選択肢別の誤答解説
- ア: 「ガバナンス基準、マネジメント基準、管理策基準、監査基準の四つから構成される」としているが誤り。ISMAP の体系では、監査を独立した「基準区分」として設ける表現は一般的ではなく、監査・保証に関する要件はガバナンス基準やマネジメント基準の中で扱われます。したがって「監査基準」を独立の柱とする記述は不適切です（監査はガバナンスの一要素として位置付けられる）。
- ウ: 「管理策基準は管理者が実施すべき事項として PDCA（計画・実行・点検・処置）やリスクコミュニケーションを定める」という記述は誤りです。管理策基準は具体的な管理策（技術的、人的、物理的対策などのコントロール項目）を定義するものであり、PDCA のプロセス管理や方針策定・体制整備などのマネジメント的なプロセスはマネジメント基準側の役割です。
- エ: 「マネジメント基準は確立段階において…選択肢を与えている」とする記述は不適切です。マネジメント基準は組織全体の情報セキュリティマネジメントに関する方針、役割、リスク評価・対応、実施・評価・改善（PDCA）を包含するものであり、「確立段階のみ」を対象にするような限定的な表現は誤解を招きます。マネジメント基準は単に“選択肢を与える”だけでなく、方針決定から管理策の選定・実施・継続的改善までを指導する枠組みです。
よくある誤解
- 「監査は独立した基準で扱う」と思い込みやすい：監査は重要な要素ですが、ISMAP の基準分類ではガバナンスやマネジメントの中で位置付けられる場合が多く、独立した“監査基準”という表現は誤りになりやすいです。
- 「管理策基準＝PDCA を示す」と混同する：PDCA はマネジメント側のプロセスであり、管理策基準は実際に導入すべきコントロールの内容に着目します。
- 「確立段階＝マネジメント基準の全範囲」ではない：確立（立ち上げ）に関する事項は含まれますが、マネジメント基準は継続的運用と改善も対象です。段階を限定する表現に注意してください。
補足コラム
ISMAP と ISO/IEC 27001 等の国際標準は概念的に重なる点が多いですが、ISMAP は政府情報システム向けに評価・認証を行うための枠組みであり、ガバナンス（経営の統治）、マネジメント（方針・組織・プロセス）、管理策（具体的対策）の三層で考えると整理しやすいです。ガバナンス層は「なぜ行うか／誰が責任を持つか」を決め、マネジメント層は「どのように管理するか（PDCA）」を定め、管理策層は「具体的に何を行うか（技術・運用）」を示します。試験対策ではこの三層の役割分担を明確に把握しておくと選択肢の振り分けが容易になります。
FAQ
Q: 「保証（assurance）は監査と同じですか？」
A: 完全に同じではありません。保証は独立した第三者や内部の保証機能によって、方針・管理策が適切に実施されていることを確認する広い概念で、監査はその手段の一つです。ガバナンス基準では「保証」活動の存在が求められます。
A: 完全に同じではありません。保証は独立した第三者や内部の保証機能によって、方針・管理策が適切に実施されていることを確認する広い概念で、監査はその手段の一つです。ガバナンス基準では「保証」活動の存在が求められます。
Q: 管理策基準に含まれる具体例は？
A: アクセス制御、ログ管理、脆弱性管理、物理的防護、人事セキュリティ、暗号利用等、技術的・組織的・物理的な対策群が該当します。
A: アクセス制御、ログ管理、脆弱性管理、物理的防護、人事セキュリティ、暗号利用等、技術的・組織的・物理的な対策群が該当します。
Q: マネジメント基準はどの段階まで扱うべきですか？
A: 方針策定からリスク評価、管理策の選定・導入、運用・監視、評価・改善まで、ライフサイクル全体を扱います。したがって「確立段階のみ」という表現は不適切です。
A: 方針策定からリスク評価、管理策の選定・導入、運用・監視、評価・改善まで、ライフサイクル全体を扱います。したがって「確立段階のみ」という表現は不適切です。
関連キーワード: ISMAP、ガバナンス基準、マネジメント基準、管理策基準、情報セキュリティガバナンス
\ せっかくなら /
ITストラテジストを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！