問題
組織の情報セキュリティ基準として、「情報セキュリティマネジメントシステム(ISMS)適合性評価制度」が広く使われている。これに関する記述として最も適切なものはどれか。
選択肢
- 1JIS Q 20000-1適合性に関する制度である。
- 2適合性の認証制度は、「認証機関」、「要員認証機関」、「認定機関」からなる仕組みである。
- 3適合性の認証登録後は、10年ごとに再認証審査を行う。
- 4標準として決められたセキュリティレベルでのシステム運用を求める。
正解
2. 適合性の認証制度は、「認証機関」、「要員認証機関」、「認定機関」からなる仕組みである。
詳しい解説を見る解説を閉じる
解説
ISMS適合性評価制度の運用体制は、組織のISMSを認証する「認証機関」、ISMS審査員などの個人を認証する「要員認証機関」、認証機関・要員認証機関を認定する「認定機関」（日本ではISMS-AC）の3階層で構成される。よってイが正解。アは誤りで、ISMS適合性評価制度の根拠規格はISO/IEC 27001（JIS Q 27001）であり、JIS Q 20000-1はITサービスマネジメント（ITSMS）の規格。ウは誤りで、ISMS認証登録の再認証審査は3年ごと、間の年は維持審査（サーベイランス）が行われるのが原則で、10年ごとではない。エは誤りで、ISMSは画一的なセキュリティレベルを強制するのではなく、組織自身がリスクアセスメントに基づき適切な管理策を選択・運用するPDCAサイクル型のマネジメントシステムである。（出典: 一般社団法人 中小企業診断協会 平成25年度 中小企業診断士1次試験 経営情報システム 第23問）
中小企業診断士トップ
一問一答・予想問題・まとめノート