平成28年度 春期 情報セキュリティスペシャリスト試験 午前II 問24
2025年7月21日
【問題24】
ITサービスマネジメントの情報セキュリティ管理プロセスに対して,JIS Q 20000-1が要求している事項はどれか。
CMDBに記録されているCIの原本を,物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。
潜在的な問題を低減させるために,予防処置をとらなければならない。
変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
変更要求の受入れについての意思決定では,リスク,事業利益及び技術の実現可能性を考慮しなければならない。
【解説】
ア: CMDBに記録されているCIの原本を,物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。
誤り。CMDB(構成管理データベース)の管理は重要ですが,JIS Q 20000-1の情報セキュリティ管理プロセスの直接的な要求事項ではありません。
イ: 潜在的な問題を低減させるために,予防処置をとらなければならない。
誤り。予防処置は品質管理などで重要視される概念ですが,JIS Q 20000-1における情報セキュリティ管理プロセスの具体的要求事項ではありません。
ウ: 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
正しい。JIS Q 20000-1では,変更管理において情報セキュリティの影響評価を行うことが要求されています。
エ: 変更要求の受入れについての意思決定では,リスク,事業利益及び技術の実現可能性を考慮しなければならない。
誤り。リスクや利益を考慮することは重要ですが,情報セキュリティ管理プロセスとして特に求められる事項ではありません。
【答え】
ウ: 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
出典:平成28年度 春期 情報セキュリティスペシャリスト試験 午前II 問24