情報セキュリティマネジメント試験過去問 - 分野別(科目A) - 情報セキュリティ管理

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › リスク分析と評価(情報セキュリティリスク対応)
解説 ：
「残留リスク」とは，リスク対応（対策）を行ったあとでも残っているリスクのことです。たとえば「情報漏えいの危険」に対策を打っても，危険がゼロになるわけではなく，どうしても一部が残ります。この残った部分が残留リスクです。したがって「ウ」が正解です。

「ア」は，「このリスクは受け入れる」と判断して保有したリスクも，対応後に残っているものなので残留リスクに含まれます。

「イ」は，リスクの洗い出しで見つけられなかったリスクは，当然対応されないまま残りますので，これも残留リスクに含まれます。

「エ」は，リスクを生じさせる活動そのものをやめる「回避」を選んだ場合，そのリスクは発生しなくなるため残るものがなく，残留リスクにはなりません。

主なリスク対応として，リスク低減，リスク回避，リスク移転，リスク保有の四つがあります。そして，どの方法をとっても残る部分が残留リスクであり，それを経営者が許容できるかを判断する，という流れで覚えておくと整理しやすくなります。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「JPCERTコーディネーションセンター」（JPCERT/CC）は，日本国内のセキュリティインシデントへの対応を支援している組織です。このJPCERT/CCが，組織内にインシデント対応チーム（CSIRT：シーサート）をつくるために公開している資料が「CSIRTマテリアル」です。チームの作り方や運用の考え方がまとめられています。したがって「ア」が正解です。

「イ」の「ISMSユーザーズガイド」は，情報セキュリティマネジメントシステム（ISMS）の認証制度を運営するJIPDEC（日本情報経済社会推進協会）が作成した解説書で，JPCERT/CCのものではありません。

「ウ」の「証拠保全ガイドライン」は，デジタルフォレンジック（電子的な証拠の保全・調査）の分野で，デジタル・フォレンジック研究会が作成したものです。

「エ」の「組織における内部不正防止ガイドライン」は，IPAが公開しているものです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
「JIS Q 31000」は，リスクマネジメントの進め方を示した指針です。プロセスは大きく，リスク特定，リスク分析，リスク評価，リスク対応，さらに監視及びレビューという流れで進みます。「エ」のリスク分析は，リスクの性質や特徴を理解し，必要に応じてリスクのレベル(大きさ)も見積もる作業です。これが正解です。

「ア」は「プロセスの質や効果を保証し，改善する」とあるので，監視及びレビューの説明です。リスク対応ではありません。

「イ」は「対処する選択肢を選定し，実施する」とあるので，リスク対応の説明です。リスク特定ではありません。

「ウ」は「リスクを発見し，認識し，記述する」とあるので，リスク特定の説明です。リスク評価ではありません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
JIS Q 31000:2019のリスクアセスメントは，「リスク特定」「リスク分析」「リスク評価」の三つのプロセスで構成されます。

「リスク特定」は，どんなリスクがあるのかを洗い出す作業です。「リスク分析」は，洗い出したリスクの起こりやすさや，起きたときの影響の大きさを調べる作業です。「リスク評価」は，分析結果を判断基準と比べて，対応が必要かどうか，どのリスクから優先して対応するかを決める作業です。

例えば，「ノートPCの紛失」というリスクを見つけ（特定），紛失の頻度や情報漏えいの被害の大きさを見積もり（分析），対策が必要かを判断する（評価）という流れになります。したがって「イ」が正解です。

「ア」はリスク分析が抜けており，リスク受容が入っています。「ウ」と「エ」には，アセスメントの後に行う「リスク対応」が含まれています。リスク受容もリスク対応の中で，残ったリスクを受け入れるかを決める段階の話なので，アセスメントそのものには入りません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「J-CSIP」は「サイバー情報共有イニシアティブ」の略称で，IPAが情報のハブ（中継役）となり，参加組織から集まったサイバー攻撃の情報を集約して共有する取組です。標的型攻撃などの被害を防ぐため，組織の垣根を越えて情報を持ち寄る仕組みと考えるとイメージしやすいです。したがって「ウ」が正解です。

「ア」の「CRYPTREC」は，政府が安全性を評価して推奨する暗号技術のリストを作成するプロジェクトです。

「イ」の「CSIRT」は，企業などの組織内に置かれ，セキュリティ事故が起きたときに対応する専門チームのことで，IPAが運営する情報共有の取組ではありません。

「エ」の「JISEC」は，ITセキュリティ評価及び認証制度のことで，製品のセキュリティ機能を第三者が評価して認証する仕組みです。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27001」は，情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた規格です。この規格では，どうしても対応しきれないリスクをそのまま受け入れる場合でも，そのリスクを管理する責任者であるリスク所有者の承認を得ることが求められます。会社でいえば，損失の可能性を理解した上で「このリスクは許容する」と，責任ある人が了解するイメージです。したがって「ア」が正解です。

「イ」は誤りで，受容したリスクも状況が変われば影響が大きくなるため，監視やレビューの対象に含め続ける必要があります。

「ウ」は誤りで，リスクの大きさを分析してからでないと，受容してよいかを判断できません。

「エ」も誤りで，受容はリスクへの対応方法の選択肢の一つとして決めるものであり，対応が終わった後に決めるものではありません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27000」は，ISMSで使われる用語を定義した規格です。不適合（決められた要求事項を満たしていない状態）が起きたとき，その原因を取り除いて再発を防ぐための処置を「是正処置」と呼びます。単にミスを直すだけでなく，なぜ起きたのかという根本原因にまで手を入れる点が特徴です。したがって「ウ」が正解です。

「ア」の「継続的改善」は，パフォーマンスを向上させるために繰り返し行う活動のことです。

「イ」の「修正」は，検出された不適合そのものを取り除く処置で，原因の除去までは含みません。たとえば誤入力を直すのが修正，誤入力が起きない仕組みに変えるのが是正処置です。

「エ」の「リスクアセスメント」は，リスクを特定し，分析し，評価する一連のプロセスのことで，不適合への対処とは別の概念です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27002」は，情報セキュリティ管理策の実践規範を示した規格です。これに対して「JIS Q 27017」は，クラウドサービスを利用する側と提供する側のために，クラウド固有の情報セキュリティ管理策を追加で示した規格です。たとえば，クラウド上の仮想環境の分離や，利用者とサービス提供者の責任分担などが挙げられます。したがって「ア」が正解です。

「イ」の事業継続マネジメントシステムは，「JIS Q 22301」（ISO 22301）の領域です。

「ウ」の情報セキュリティガバナンスは，「JIS Q 27014」で扱われます。

「エ」の制御システム固有のサイバーセキュリティは，工場やプラントの制御システムを対象とした「IEC 62443」などで扱われます。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
「PCI DSS」（Payment Card Industry Data Security Standard）は，クレジットカード業界のセキュリティ基準です。カード会員データを保護するため，国際カードブランド各社が共同で策定しました。カード情報を扱う事業者に対して，ネットワークの防御や暗号化といった技術面と，アクセス管理や監視といった運用面の両方の要件を定めています。したがって「イ」が正解です。

「ア」の「ISMS適合性評価制度」は，組織の情報セキュリティ管理体制を第三者が認証する制度で，カード会員データに特化したものではありません。

「ウ」の「特定個人情報保護評価は」，マイナンバーを扱う際にプライバシーへの影響を事前に評価する制度です。

「エ」の「プライバシーマーク制度」は，個人情報の取扱いが適切な事業者を認定する制度で，カード会員データに特化した基準ではありません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
ISMS（情報セキュリティマネジメントシステム）では，経営トップが定期的に仕組み全体を点検する「マネジメントレビュー」を行います。会社の健康診断の結果を社長が確認し，改善を指示する場面を想像してください。

「JIS Q 27001」では，考慮すべき事項として「前回までのマネジメントレビューの結果とった処置の状況」「内部監査の結果」「発生した不適合及び是正処置の状況」などが挙げられています。前回決めたことが実行されたか，監査で何が見つかったか，ルール違反とその直し方はどうなったかを確認する，という流れです。正解は「ウ」です。

「ア」「イ」「エ」に含まれる「トップマネジメントが設定した情報セキュリティ目的」は，規格が列挙する考慮事項と一致しません。規格が求めているのは，目的を設定すること自体ではなく，目的がどこまで達成できたかという成果の情報を踏まえて判断することです。したがって，この項目を含む選択肢は不適切です。

なお，マネジメントレビューはPDCAサイクルのC（確認）からA（改善）へつなぐ重要な場面です。監査や是正処置の情報が経営層に届かないと，現場で見つかった問題が放置されてしまいます。経営トップが自ら判断して，必要な資源の配分や方針の見直しを行う点が，内部監査との大きな違いです。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「CSIRT」（シーサート）とは，企業などで発生したセキュリティ事故に対応する専門チームのことです。JPCERT/CCのガイドでは，CSIRTを活動内容と対象によって六つに分類しており，コーディネーションセンターは，複数のCSIRTの間に立って情報の連携や調整を行う役割です。サッカーでいえば，各チームの間で試合の日程や連絡を取りまとめる運営事務局のようなものです。サービス対象は他のCSIRTになります。正解は「ア」です。

「イ」は，インシデントの傾向分析やマルウェアの解析を行って注意を喚起する「分析センター」の説明です。「ウ」は，自社製品の脆弱性に対応してパッチを作る「製品開発チームCSIRT」の説明です。「エ」は，組織内CSIRTの機能を有償で請け負う「インシデント対応提供組織」の説明です。

いずれも別の分類の説明であり，コーディネーションセンターには当てはまりません。試験では，六つの分類（社内CSIRT，国または地域のCSIRT，コーディネーションセンター，分析センター，ベンダーチーム，インシデント対応提供組織）の名前と役割を結び付けて問われます。日本の代表的なコーディネーションセンターが，JPCERT/CCです。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「CRYPTREC」（クリプトレック）は，電子政府で使うことを推奨する暗号技術の安全性を評価し，監視する日本のプロジェクトです。暗号は時間が経つと解読技術の進歩で危険になることがあるため，専門家が継続的に安全性を確認しています。その結果は「電子政府推奨暗号リスト」にまとめられています。正解は「ウ」です。

「ア」は，暗号装置の輸出許可を審査する経済産業省などの役割であり，CRYPTRECの仕事ではありません。

「イ」は，IT製品のセキュリティ機能を評価・認証する制度（ITセキュリティ評価及び認証制度）の説明です。

「エ」は，民間企業のサーバへの攻撃を監視，検知する活動のことで，SOC（セキュリティオペレーションセンター）などが担う役割です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27002」では，電源，通信ケーブル，空調設備など，情報処理設備が動くために欠かせない設備を「サポートユーティリティ」と呼んでいます。いわば，コンピュータを支える縁の下の力持ちです。サーバ室の空調が止まれば，機器が熱で故障してサービスが止まるおそれがあるため，空調はサポートユーティリティに該当します。正解は「ア」です。

「イ」のサーバの保守契約は，設備ではなく契約という取り決めであり，ユーティリティではありません。

「ウ」の特権管理プログラムは，管理者権限で動作するソフトウェアのことで，アクセス管理などの場面で注意が必要なものですが，物理的な支援設備ではありません。

「エ」のネットワーク管理者は人であり，設備ではありません。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › リスク分析と評価(情報セキュリティリスク対応)
解説 ：
リスク対応には，大きく分けて「リスクコントロール」と「リスクファイナンシング」があります。

リスクコントロールは，リスクが起こりにくくしたり，被害を小さくしたりする対策です。リスクファイナンシングは，起きてしまった損失にお金の面で備える方法です。代表例が保険で，自動車保険のように，事故が起きたときの費用負担を保険会社に移します。したがって，システムの被害に備えて保険を掛ける「ア」が該当します。

「イ」はリスクの顕在化を抑える対策なので「リスク低減」です。

「ウ」はリスクが大きいシステム自体をやめて作り直すので「リスク回避」です。

「エ」は被害を小さくする設備への投資で，これも「リスク低減」に当たります。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27000」では，リスクレベルを「結果とその起こりやすさの組合せとして表現される，リスクの大きさ」と定義しています。天気予報に例えると，雨が降る確率（起こりやすさ）と，降ったときの影響の大きさ（結果）を合わせて，傘を持つべきかを判断するようなものです。正解は「イ」です。

「ア」は「脆弱性」の定義です。脆弱性とは，脅威に付け込まれる可能性のある弱点のことです。

「ウ」は「リスク対応の優先順位」の説明で，リスクレベルを比べた後に決める順番のことです。

「エ」は「リスク基準」の定義で，リスクの重大性を評価するときの目安となる条件を指します。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27000」では，リスクを運用管理することについて，アカウンタビリティ（説明責任）と権限をもつ人または主体を「リスク所有者」と呼んでいます。たとえば，営業部の顧客情報が漏えいするリスクについて，営業部長が責任をもって対策を決めて管理する，といったイメージです。正解は「エ」です。

「ア」の監査員は，ISMSが適切に運用されているかを調べる立場の人で，リスクを管理する責任者とは異なります。

「イ」のトップマネジメントは，組織を指揮し管理する最高位の人や集団で，組織全体の方針を決める立場です。個々のリスクの責任者という意味ではありません。

「ウ」の利害関係者は，意思決定や活動に影響を与える，または影響を受ける個人や組織を指す広い概念です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27001」では，情報セキュリティ目的をどのように達成するかを計画するとき，何を行うか（実施事項），誰が責任をもつか（責任者），いつまでに終えるか（達成期限）に加えて，「必要な資源」と「結果の評価方法」を決めることを求めています。

旅行の計画で，行き先と日程に加えて，予算と，うまくいったかをどう判断するかも決めておくイメージです。「必要な資源」は人，お金，設備などのことで，「結果の評価方法」は目的を達成できたかを確かめる方法です。正解は「ア」です。

「イ」や「エ」にある「適用する管理策」は，リスク対応の計画で決める事項であり，目的達成の計画の項目ではありません。

「ウ」と「エ」にある「必要なプロセス」も，規格がここで求めている事項ではありません。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
IPAの「中小企業の情報セキュリティ対策ガイドライン」では，情報資産を洗い出して管理台帳に記入することを勧めています。守るものが分からなければ，対策も立てられないからです。クラウドサービスに保存している情報も，自社の情報資産に変わりはありません。社外にあるからといって管理の対象から外さず，台帳に記入します。正解は「エ」です。

「ア」は，様々な情報が混在していても，台帳に記入しないということはありません。重要度を一律に評価できないものは，含まれる最も高い重要度に合わせて管理するのが基本です。

「イ」は，重要度が変わる情報でも，確定を待たずに現時点の評価を記入しておくのが適切です。

「ウ」は，紙と電子データで保存している場合は，それぞれ別の資産として両方を記入します。

情報資産管理台帳には，情報資産の名称，媒体や保存場所，管理者，重要度，保存期限などを記入します。台帳があると，どの情報をどこまで守るべきかが分かり，対策の優先順位を決められます。クラウドや個人所有の機器など，見落としやすい場所の情報も洗い出すのがポイントです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
「PCI DSS」は，クレジットカード情報を安全に扱うための国際的なセキュリティ基準です。カードセキュリティコード（カード裏面などに書かれた3桁または4桁の数字）は，ネット決済で本人確認に使われる重要な情報です。

PCI DSSでは，取引の承認を受けた後は，加盟店でもサービスプロバイダでも，暗号化していても保管してはならないと定められています。したがって，どちらも「保管しない」とする「エ」が正解です。

「ア」は，暗号化しても保管するので誤りです。

「イ」は，加盟店が平文で保管していて，最も危険な誤りです。

「ウ」は，サービスプロバイダが平文で保管しており，これも不適切です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
「政府機関等の情報セキュリティ対策のための統一基準」は，政府機関が守るべき情報セキュリティ対策の共通ルールです。この基準では，情報の機密性，完全性，可用性のそれぞれの観点から，情報の格付（重要度の区分）を定義しています。正解は「ア」です。

「イ」と「エ」は，個人情報保護法や不正アクセス禁止法に基づいて作られたものではなく，サイバーセキュリティ基本法に基づく基準なので誤りです。

「ウ」は，適用範囲は政府機関と独立行政法人などで，全ての民間企業を対象とするわけではありません。民間企業は，必要に応じて参考にする立場です。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27017」は，クラウドサービスのための情報セキュリティ管理策の規範です。クラウドサービスを使う側（利用者）にも，提供する側（事業者）にも使えるように作られています。そのため，どちらにも適用できるとする「イ」が正解です。

「ア」は，利用と提供の両方を行う事業者だけに限定しているので誤りです。

「ウ」は，利用するだけの事業者には適用できないとしていますが，利用者向けの管理策も含まれているので誤りです。

「エ」は，提供するだけの事業者には適用できないとしていますが，提供者向けの管理策が含まれているので誤りです。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「SECURITY ACTION」は，中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で，IPAが運営しています。「中小企業の情報セキュリティ対策ガイドライン」に沿った取組みを宣言する点が問題文と一致しますので，「エ」が正解です。

「ア」の「ISMS適合性評価制度」は，第三者の審査機関がISMSを審査して認証する制度であり，自己宣言ではありません。

「イ」の「ITセキュリティ評価及び認証制度」（JISEC）は，IT製品のセキュリティ機能を第三者が評価，認証する制度です。

「ウ」の「MyJVN」は，JVN（脆弱性情報データベース）に関連してIPAなどが提供するツールやサービスで，制度ではありません。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「SECURITY ACTION」は，中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で，IPAが運営しています。「中小企業の情報セキュリティ対策ガイドライン」に沿った取組みを宣言する点が問題文と一致しますので，「エ」が正解です。

「ア」の「ISMS適合性評価制度」は，第三者の審査機関がISMSを審査して認証する制度であり，自己宣言ではありません。

「イ」の「ITセキュリティ評価及び認証制度」（JISEC）は，IT製品のセキュリティ機能を第三者が評価，認証する制度です。

「ウ」の「MyJVN」は，JVN（脆弱性情報データベース）に関連してIPAなどが提供するツールやサービスで，制度ではありません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
「SaaS」（Software as a Service）は，ソフトウェアをインターネット経由で利用するサービスです。システムの構築や運用の多くを事業者に任せられますが，利用する企業の責任がなくなるわけではありません。「ウ」は，自社でシステムを構築しなくてよいので，開発のためのセキュリティ要件の定義やログ保存容量の設計が不要になるという内容で，SaaSの特徴に合っています。

「ア」は，障害時の業務手順や，自社データのバックアップの扱いは検討が必要です。

「イ」は，誰にどの権限を与えるかというアクセス管理や，パスワードポリシの検討は利用企業の仕事です。

「エ」は，情報セキュリティ管理規程の策定や管理担当者の設置は，クラウドを使っても必要です。任せられるのは構築や基盤の運用であり，管理責任そのものではないと覚えましょう。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「適用宣言書」とは，ISMSで採用する管理策と，採用しない管理策およびその理由を記した文書です。JIS Q 27001では，リスク対応に必要な管理策を決めたあと，それをISO/IEC 27001の附属書A（管理策の一覧）と比較し，必要な管理策の見落としがないかを確認して，適用宣言書を作成します。したがって「イ」が正解です。

「ア」は，リスク対応計画は適用宣言書の作成後に作成，承認する流れです。

「ウ」は，リスク対応の選択肢を選ぶのは適用宣言書の作成より前です。

「エ」は，リスクの特定は最初の段階の作業であり，適用宣言書より前に行います。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
リスクマネジメントの流れは，リスク特定，リスク分析，リスク評価，リスク対応の順に進みます。リスク分析とは，リスクの特質を理解し，リスクレベル（どれくらい深刻か）を決定するプロセスですので，「ウ」が正解です。

「ア」は，管理策を採用してリスクを修正する内容なので，リスク対応の定義です。

「イ」は，リスクの大きさをリスク基準と比べて受容できるかを決めるプロセスなので，リスク評価の定義です。

「エ」は，リスクを発見し，認識し，記述するプロセスなので，リスク特定の定義です。

たとえば，地震でサーバが壊れるかもしれないと見つけるのが特定，被害がどの程度かを見積もるのが分析，その大きさが許せるかを判断するのが評価，そして対策を打つのが対応です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「情報セキュリティガバナンス」とは，経営層が情報セキュリティを適切に統制する仕組みのことで，「ITガバナンス」は，ITの利活用を適切に統制する仕組みです。JIS Q 27014では，両者の範囲は重なる部分があるものの，同じではないとされています。

たとえば，ITを活用する計画は主にITガバナンスの話ですが，そのITを安全に使うことは情報セキュリティガバナンスの話でもあります。また，紙の書類の管理はITガバナンスの範囲外でも，情報セキュリティガバナンスの範囲には入ります。したがって「ア」が正解です。

「イ」は重複しないとしているので誤りです。「ウ」と「エ」は一方がもう一方を完全に含むとしており，どちらも誤りです。二つの円が部分的に重なるベン図をイメージすると覚えやすいです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「サイバーレスキュー隊」（J-CRAT）は，IPA（情報処理推進機構）が運営する組織で，標的型サイバー攻撃を受けた組織に対して，被害の拡大を抑えたり，攻撃が次々とつながっていく流れ（攻撃連鎖）を断ち切ったりする支援を行います。正解は「エ」です。

「ア」の内閣官房に置かれた組織は，内閣サイバーセキュリティセンター（NISC）のことで，J-CRATとは別です。

「イ」の自社や顧客のインシデントに対応する企業内の活動は，CSIRT（シーサート）の説明です。

「ウ」の情報セキュリティマネジメントシステム適合性評価制度（ISMS認証）は，JIPDECなどが運営しており，J-CRATの役割ではありません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › リスク分析と評価(情報セキュリティリスク対応)
解説 ：
リスク対応には大きく四つの方法があります。リスクの原因そのものをなくす「回避」，発生しにくくしたり被害を小さくしたりする「低減」，保険などで他者に負担を移す「移転」，そのまま受け入れる「保有（受容）」です。

「ウ」は，リスクが大きいシステムを使うサービス自体をやめるので，原因を取り除くリスク回避に当たります。これが正解です。

「ア」は機器を冗長化して起こりにくくするのでリスク低減です。

「イ」は保険を掛けて損失の負担を保険会社に移すのでリスク移転です。

「エ」はリスクが小さいので何もしないと決めるのでリスク保有です。

たとえば，雨で濡れるのが嫌だから出かけない，というのが回避，傘をさすのが低減，濡れてもよいと割り切るのが保有，と考えると区別しやすくなります。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27000におけるリスク評価とは，リスク分析の結果を，あらかじめ決めたリスク基準と比べて，そのリスクが受け入れてよい大きさかどうかを判断するプロセスです。リスクへの対応が必要かどうかを決める段階だと考えてください。正解は「イ」です。

「ア」はリスクを修正する対策を講じるプロセスで，リスク対応の説明です。

「ウ」はリスクの特質を理解してリスクレベルを決めるプロセスで，リスク分析の説明です。

「エ」はリスクを見つけ出して認識し，記述するプロセスで，リスク特定の説明です。

流れとしては，リスク特定，リスク分析，リスク評価の順に進みます。何を見つけ，どれくらい大きく，受け入れられるか，という順番で整理すると覚えやすいです。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「情報セキュリティ事象」とは，セキュリティ方針の違反や管理策の不具合など，情報セキュリティに関わる何らかの出来事のことです。一方，「情報セキュリティインシデント」は，事業運営を危うくしたり，情報セキュリティを脅かしたりする可能性が高い事象を指します。つまり，事象のうち影響の大きいものがインシデントに分類され得る，という関係です。「ウ」はこの関係を正しく表しています。

「ア」は両者を同じものとしており，「イ」は無関係としているので，どちらも誤りです。「エ」は，事象が全てインシデントだとしていますが，実際には問題のない軽微な事象も多く，全てがインシデントになるわけではありません。「全て」という強い表現には注意が必要です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「特権的アクセス権」とは，システム管理者などが持つ，通常の利用者より強い権限のことです。システムの設定変更やプログラムの更新，利用者の登録や削除などができます。「ウ」のシステム管理者が業務システムのプログラムにアクセスしてバージョンアップを行う行為は，この管理特権を使った行為に当たります。

「ア」の営業担当者が社外から営業システムを使うのは，許可された通常の利用です。

「イ」の経営者が機密性の高い経営情報を見るのも，情報の閲覧権限であって管理特権ではありません。

「エ」の来訪者がデモ用システムの機能を確認するのは，一時的な一般利用にすぎません。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27000では，エンティティ（人や組織，システムなど）が，それが主張するとおりのものであるという特性を「真正性」と定義しています。たとえば，ログインした人が本当にそのIDの持ち主であること，届いたメールが本当にその送信者から来たものであることを保証する性質です。正解は「ア」です。

「イ」の信頼性は，意図したとおりの動作や結果が一貫して得られる特性です。

「ウ」の責任追跡性は，誰が何をしたのかを後から追跡できる特性です。

「エ」の否認防止は，ある行為や事象が起きたことを後から否定されないようにする特性です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
2015年のサイバーセキュリティ戦略の五つの基本原則は，「情報の自由な流通の確保」「法の支配」「開放性」「自律性」「多様な主体の連携」です。「ア」は，サイバー空間を一部の主体が占有せず，参加を求める人に開かれたものとするという内容で，開放性の原則に当たります。

「イ」は，秩序維持を国家が全て代替するとしていますが，実際は国だけでなく民間などの多様な主体が連携して取り組む方針なので誤りです。

「ウ」は発信された情報を全て検閲するとしていますが，情報の自由な流通を重んじる原則に反します。

「エ」はルールや規範を適用してはならないとしていますが，法の支配を掲げているので誤りです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › リスク分析と評価(情報セキュリティリスクアセスメント)
解説 ：
リスクアセスメントは，リスク特定，リスク分析，リスク評価の三段階で進みます。このうちリスク特定は，どんなリスクがあるのかを洗い出す作業です。

具体的には，リスクを引き起こす可能性のあるリスク源(d)，リスクによって起きる事象(b)，事象の原因と起こり得る結果(c)を特定します。したがって，b，c，dの「エ」が正解です。

「a リスク対応に掛かる費用」は，洗い出したリスクにどう対応するかを決める段階で検討する内容であり，リスク特定の対象ではありません。そのため，aを含む「ア」と「イ」は誤りです。「ウ」はdが欠けているので誤りです。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「リスク評価」とは，リスク分析で得られた結果が受け入れられる大きさかどうかを判断する作業です。判断のためには，ものさしが必要です。そのものさしが，組織があらかじめ決めておくリスク基準(リスク受容基準)で，分析結果をこれと比較します。したがって「ウ」が正解です。

「ア」の「インシデントシナリオ」は，リスクの分析をするために想定する筋書きです。

「イ」の「インシデント対応フロー」は，事故が起きたときの手順書です。

「エ」の「リスク対応計画」は，リスク評価の後で，対応が必要と判断されたリスクに対して作成するものです。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27000の用語で，不適合の原因を取り除き，再発を防ぐための処置を「是正処置」と呼びます。たとえば，ルール違反が起きたら，その人を注意するだけでなく，ルールが周知されていなかったという原因を直すイメージです。

「ア」の継続的改善は，パフォーマンスを高めるために繰り返し行う活動です。

「イ」の修正は，見つかった不適合そのものを取り除く処置で，原因までは扱いません。ここが是正処置との違いです。

「エ」のリスクアセスメントは，リスクの特定，分析，評価を行う一連のプロセスのことで，不適合への対応とは関係ありません。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「否認防止」とは，ある事象や行為が実際に起きたことを後から証明でき，行為者が「やっていない」と否定できないようにする特性です。利用者がシステムを利用した事実が証明できるという「ア」が該当します。ログの記録やディジタル署名がその手段です。

「イ」は，認可された利用者が必要なときにアクセスできるという可用性の説明です。

「ウ」は，認可された人にだけ情報を使わせるという機密性の説明です。

「エ」は，行動と結果が一貫しているという信頼性の説明です。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「JIS Q 27001」は，ISMS（情報セキュリティマネジメントシステム）を作って運用するための国際規格に対応した日本の規格です。

この規格では，経営陣であるトップマネジメントが『リーダーシップ』を示す行動として，ISMSの有効性に寄与するよう人々を指揮し，支援することなどを挙げています。社長が現場任せにせず，先頭に立って旗を振るイメージです。したがって正解は「ア」です。

「イ」は，ISMSを他のプロセスと分けて運営するという内容ですが，実際は事業のプロセスに組み込むことが求められるので誤りです。

「ウ」は，トップ自身が方針を確立する立場であり，従うだけではないので不適切です。

「エ」のリスク対応計画の策定は，トップが直接示す行動としては挙げられていないので誤りです。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ継続
解説 ：
「RPO」（Recovery Point Objective：目標復旧時点）とは，災害などでシステムが止まったとき，データを『いつの時点の状態まで』戻すかを示す指標です。たとえば，毎日深夜にバックアップをとっているなら，最大で約1日分のデータが失われる可能性があり，RPOは約24時間ということになります。したがって正解は「エ」です。

「イ」は，災害発生からどのくらいの時間以内にシステムを再稼働させるかを示す指標で，これは「RTO」（目標復旧時間）の説明です。RPOとRTOは混同しやすいので，『Point＝時点，Time＝時間』と覚えると区別できます。

「ア」と「ウ」は，RPOとは関係のない人員やコストの話なので誤りです。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
「JIS Q 31000」は，リスクマネジメントの原則と指針を定めた規格です。この規格が挙げる原則の一つに，リスクマネジメントは組織に合わせて作られる，というものがあります。会社ごとに事業内容や規模，置かれた状況が違うので，他社のやり方をそのまま使うのではなく，自社に合わせて作り込むという意味です。したがって正解は「イ」です。

「ア」は，リスクマネジメントは静的ではなく，変化に対応して継続的に見直す『動的』なものとされているので誤りです。

「ウ」は，組織の主要なプロセスから分離せず，その一部として組み込むべきなので誤りです。

「エ」は，リスクが顕在化した後の対応だけでなく，起きる前に備えることも対象なので誤りです。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
JIS Q 31000が示すリスクマネジメントのプロセスは，次の順に進みます。まず状況を確認した上で『リスク特定』で何がリスクになり得るかを洗い出し，『リスク分析』でそのリスクの性質や大きさを調べます。次に『リスク評価』で，分析結果をもとに対応が必要かどうか，優先順位はどうするかを判断し，最後に『リスク対応』で，低減や回避などの具体的な手を打ちます。

病気の診療に例えると，症状を見つけ（特定），検査で原因や程度を調べ（分析），治療が必要か判断し（評価），治療する（対応）という流れです。したがって正解は「イ」です。

「ア」は対応が分析や評価より先に来ており，「ウ」と「エ」は評価が特定や分析より先に来ているので，順序として成り立ちません。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
システム運用を委託している場合でも，情報セキュリティインシデントが起きたときの対応では，委託元と委託先の連携が重要になります。あらかじめ連絡経路を決めておけば，インシデントの発生を関係者へ迅速かつ漏れなく伝えられます。したがって正解は「ウ」です。

「ア」は，契約を続けるか，再発防止策をどうするかという重要な判断を委託先のB社に任せるもので，委託元のA社が責任を放棄しているので不適切です。

「イ」は，SLAに緊急時の手続を書かず委託先の裁量に任せるもので，対応が属人的になり，基準も曖昧になります。

「エ」は，事前に定めた手順より個人の判断を優先するもので，手順が無意味になり，対応のばらつきや見落としにつながるので不適切です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27001では，組織の管理下で働く人々が認識しなければならないことを三つ挙げています。一つ目はISMSの有効性に対する自らの貢献，二つ目はISMS要求事項に適合しないことの意味，そして三つ目が情報セキュリティ方針です。

つまり，組織で働く人が，会社の方針を知り，自分の行動がセキュリティにどう関わるかを理解していることが求められます。したがって正解は「ウ」です。

「ア」の適用宣言書，「イ」の内部監査結果，「エ」のリスク対応計画は，主に管理者や担当者が扱う文書であり，働く人全員が認識すべきこととして挙げられているわけではないので誤りです。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「JVN」（Japan Vulnerability Notes）とは，IPAとJPCERT/CCが共同で運営している脆弱性対策情報のポータルサイトです。ソフトウェア製品の脆弱性の内容や，修正プログラムの有無などの対策情報が掲載されます。システム管理者はここを見ることで，自社が使っている製品に問題が見つかっていないかを確認できます。したがって正解は「ウ」です。

「ア」は，製品事故などの情報を扱うNITE（製品評価技術基盤機構）が提供するものです。

「イ」は，国家や重要インフラに影響するセキュリティ事案を扱う，内閣サイバーセキュリティセンター（NISC）などの情報です。

「エ」は，相談窓口の情報で，JVNの主な提供情報ではありません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27000における用語の定義を確認します。

『真正性』は，エンティティ（人や組織，システムなど）が，それが主張するとおりのものであるという特性で，定義bです。本物であることを意味します。

『信頼性』は，意図する行動と結果とが一貫しているという特性で，定義aです。想定した動作を安定して行えることを意味します。

したがって「真正性がb，信頼性がa」の「イ」が正解です。定義cは『可用性』，定義dは『機密性』の説明です。

「ア」は信頼性にc（可用性）を，「ウ」は信頼性にd（機密性）を，「エ」は真正性にd（機密性）を当てており，定義が取り違えられているので誤りです。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › リスク分析と評価(情報セキュリティリスク対応)
解説 ：
地震保険に入ると，地震による損害が出たときの金銭的な負担を保険会社に肩代わりしてもらえます。これは，リスクを他者と分かち合う『リスク共有』（リスク移転）にあたります。

「ア」は，利益を得るチャンスのためにあえてリスクを引き受ける考え方で，投資や新規事業のようなイメージです。

「ウ」はリスクの原因そのものをなくす対応で，たとえば危険な建物を取り壊すことです。

「エ」は，リスクのある活動自体をやめる『リスク回避』です。地震が怖いからその土地での事業をやめる，といった場合がこれにあたります。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「JPCERT/CC」（ジェーピーサート・コーディネーションセンター）は，国内のコンピュータセキュリティインシデントについて，報告の受付や対応の支援，手口の分析，再発防止策の助言などを行う民間の非営利組織です。特定の政府機関や企業から独立している点も特徴で，「ウ」が正解です。

「ア」は工業標準化法に基づく審議会で，「日本産業標準調査会」（JISC）の説明です。

「イ」は電子政府推奨暗号の安全性を評価するプロジェクトで，「CRYPTREC」のことです。

「エ」は内閣官房に置かれ，サイバー攻撃への防衛の司令塔となる組織で，「内閣サイバーセキュリティセンター」（NISC）にあたります。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「JVN」（Japan Vulnerability Notes）は，ソフトウェア製品の脆弱性に関する対策情報を日本語で提供するポータルサイトで，JPCERT/CCとIPAが共同で運営しています。「ウ」が正解です。

「ア」は脆弱性の深刻度を数値で評価する手法で，「CVSS」（共通脆弱性評価システム）のことです。

「イ」は脆弱性ごとに付けられる識別子で，「CVE」（共通脆弱性識別子）を指します。

「エ」は組織内のセキュリティ問題に対応する専門チームで，「CSIRT」（シーサート）の説明です。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
退職者の利用者IDの削除漏れを見つけるには，実際にシステムに存在するIDの一覧と，現在の所属者名簿を突き合わせます。名簿に載っていない人にIDが発行されていれば，それが削除漏れです。「ウ」が正解です。

「ア」は，所属者名簿と削除申請書を比べても，申請そのものが漏れていると見つけられません。

「イ」は，退職者の一覧と所属者名簿を比べるだけで，どのIDが残っているのかが分かりません。

「エ」は，削除申請書は申請された分しか載っていないため，申請漏れの人を拾えません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
リスクマネジメントの流れは，リスク特定，リスク分析，リスク評価，リスク対応の順です。リスク評価とは，リスク分析で得た結果を，あらかじめ決めたリスク基準と比べて，そのリスクを受け入れてよいかどうかを判断するプロセスです。「イ」が正解です。

「ア」は，対策を講じてリスクを修正する「リスク対応」の説明です。

「ウ」は，リスクの性質を理解してリスクレベルを決める「リスク分析」の説明です。

「エ」は，リスクを見つけ出して認識し，記述する「リスク特定」の説明です。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
「残留リスク」とは，リスクに対する対応を行ったあとでも，なお残っているリスクのことです。どれだけ対策をしてもリスクをゼロにするのは難しいため，残った分を受け入れるかどうかを経営判断で決めます。「エ」が正解です。

「ア」は，監査を行っても監査人が重大な不備を見つけられないリスクで，「発見リスク」と呼ばれます。

「イ」は，業務の性質上，もともと備わっているリスクで，「固有リスク」と呼ばれます。

「ウ」は，利益を得る可能性と表裏一体で存在する損失の可能性で，「事業リスク」（ビジネスリスク）にあたります。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
情報セキュリティの教育は，組織の情報を扱う全員に必要です。正規従業員と同じ業務をしている派遣従業員が教育を受けていないと，その人たちが情報漏えいの原因になりかねません。そのため，派遣従業員を除いて教育を行っている「エ」が，改善が必要な状況です。

「ア」は，受講記録を分析して教育計画を見直しており，PDCAサイクルが回っているので良い状況です。

「イ」は，職務や職制に合わせた内容にしており，効果的な教育として望ましい状況です。

「ウ」は，出張で受講できなかった人に追加で教育を行っており，全員に行き渡らせようとする適切な運用です。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
システム管理者は，強い権限を持つため，内部不正が起きやすい立場です。IPAのガイドラインでは，一人にすべてを任せない仕組みづくりが重要とされています。夜間や休日の単独作業を制限すれば，他人の目が届き，不正の抑止になるため，「エ」が適切です。

「ア」は，管理者同士の会話や情報交換を制限すると，かえって相互に確認しづらくなり，不適切です。

「イ」は，管理者の操作履歴を本人以外が見られないようにすると，不正があっても発見できません。履歴は第三者がチェックすべきです。

「ウ」は，長期休暇を制限してしまうと，代理の人が業務を行うことで発覚する不正を見つけられなくなります。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
2015年に定められたサイバーセキュリティ戦略では，五つの基本原則として，「情報の自由な流通の確保」「法の支配」「開放性」「自律性」「多様な主体の連携」が挙げられています。「ア」は，サイバー空間が一部の主体に占有されず，参加を求める者に開かれているべきだという『開放性』の説明なので，正解です。

「イ」は，秩序維持を国家がすべて代替するとしていますが，実際は多様な主体が連携して取り組むことが原則です。

「ウ」は，情報をすべて検閲するのは，情報の自由な流通の確保に反します。

「エ」は，法令を含むルールや規範を適用しないとしていますが，法の支配が原則とされています。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ継続
解説 ：
今回の問題点は，バックアップが2週間に一度のフルバックアップしかなく，最後の取得後の最大約2週間分のメールが復旧できない点です。

「前日の状態まで」復旧するには，毎日バックアップを取る必要があります。フルバックアップに加えて，毎日，前回のフルバックアップからの変更分だけを取る差分バックアップを行えば，フルと最新の差分を使って，前日の状態に戻せます。「ア」が正解です。

「イ」は，メールを複数のディスクに分散して蓄積しても，誤消去や障害からの過去の状態への復旧ができません。

「ウ」は，ミラーリングで信頼性は高まりますが，バックアップ方法を変えないので，前日まで戻せません。

「エ」は，同じサーバのディスクに毎日バックアップしても，サーバ全体の障害には弱く，毎日フルでは負荷も大きくなります。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ機関・組織
解説 ：
「CSIRT」(シーサート)は，企業や政府機関などの中に置かれ，情報セキュリティインシデント(不正アクセスやウイルス感染などの事故)の報告を受けて調査し，対応にあたる専門チームの総称です。消防署のサイバー版と考えるとイメージしやすいでしょう。

「ア」はIPアドレスやDNSルートサーバの管理を行う国際組織「ICANN」の説明です。

「イ」はインターネットの技術文書(RFC)を作り，標準化を検討する「IETF」の説明です。

「エ」は政治的・宗教的な主張のためにIT技術を使って攻撃を行う人々，いわゆる「ハクティビスト」の説明です。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
問題文の「独立かつ専門的な立場」の者が，コントロール(対策)の整備や運用状況を検証・評価し，保証や助言を行うものは，情報セキュリティ監査です。会社の決算を外部の会計士がチェックするのと似たイメージです。

「ア」の「CSA」は，現場の担当者自身が自分たちの統制状況を評価する手法なので，独立した第三者による評価ではありません。

「ウ」の「ベンチマーク」は，他社の取組みと比べて自社の水準を知るための手法です。

「エ」の「ディジタルフォレンジックス」は，不正アクセスなどが起きた後に，証拠となるデータを収集・分析する技術であり，対策の評価を目的とするものではありません。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティ管理
解説 ：
モバイル機器を紛失した場合の情報漏えい対策としては，遠隔操作でデータを消去する「リモートワイプ」が有効です。拾った人や盗んだ人が中身を見る前に，情報を消してしまえるからです。

「ア」のSNS利用の制限は，紛失とは関係がなく，紛失時の漏えい対策にはなりません。

「ウ」の通信の暗号化は，通信中の盗聴を防ぐ対策であり，機器の中に保存されたデータを守ることはできません。

「エ」ののぞき見防止フィルムは，電車内などで画面を横から盗み見られることを防ぐものなので，紛失した後の対策にはなりません。

答え ： ア
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27001(ISMSの規格)では，リスクの対応後に残るリスク(残留リスク)を受容する場合，そのリスクについてリスク所有者(そのリスクを管理する責任と権限を持つ人)の承認を得ることが求められます。「ア」が正解です。

「イ」は，受容したリスクも状況が変わる可能性があるため，モニタリングやレビューの対象に含める必要があります。

「ウ」は，リスクを受容するかどうかは，リスクを分析・評価した後に決めるものです。

「エ」も，受容の判断はリスク対応の過程で行うものであり，対応が終わった後に決めるという順序は不適切です。

答え ： イ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
JIS Q 27001では，経営層が承認した情報セキュリティ方針を，従業員や関連する外部関係者に通知し，周知することが求められます。方針は組織全員が守るべきルールの土台だからです。

「ア」は，方針は広く知らせてこそ意味があるため，機密情報のように隠す対象ではありません。

「ウ」は，方針は担当者が各自で作るのではなく，経営層が組織として定めるものです。

「エ」は，事業環境や脅威は変化するため，方針は定期的にレビューして見直すことが必要です。「見直し不要」とする記述は，ISMSの継続的改善の考え方に反しています。

答え ： ウ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティマネジメントシステム(ISMS)
解説 ：
「特権的アクセス権」とは，システムの設定変更やプログラムの更新など，一般の利用者には許されない強い権限を使ったアクセスのことです。システム管理者が業務システムのバージョンアップを行う「ウ」がこれに当たります。

「ア」の社外から営業システムを使う営業担当者，「イ」の経営情報を見る経営者，「エ」のデモシステムを触る来訪者は，いずれも利用が許可された範囲内で使う通常のアクセスであり，システムを管理・変更する強い権限は必要ありません。情報の機密性が高いことと，特権が必要なことは別の話なので，混同しないようにしましょう。

答え ： エ
分野 ： 重点分野 › 技術要素 › セキュリティ › 情報セキュリティ管理 › 情報セキュリティに関する基準
解説 ：
内部不正を早く見つけ，事後に原因を調べるためには，アクセスログを取得するだけでなく，定期的に確認することが重要です。誰かが見ていると分かれば抑止効果も期待できます。

「ア」は，コストを考えずに永久保存するのは現実的ではありません。保存期間は，必要性とコストを考えて決めます。

「イ」は，利用者にログの管理権限を与えると，不正を行った本人がログを改ざん・削除できてしまうため不適切です。

「ウ」の保存期間の周知は悪いことではありませんが，不正の早期発見や事後対策に直接つながるのは，ログを実際に確認することなので，「エ」がより適切です。