平成30年度 秋期 情報処理安全確保支援士試験 午前II 問24
【問題24】
ITサービスマネジメントの情報セキュリティ管理プロセスに対して,JIS Q 20000-1(サービスマネジメントシステム要求事項)が要求している事項はどれか。
CMDBに記録されているCIの原本を,セキュリティが保たれた物理的又は電子的に格納庫で管理しなければならない。
潜在的な問題を低減させるために,予防処置をとらなければならない。
変更要求が情報セキュリティ基本方針及び管理策に与える潜在的な影響を評価しなければならない。
変更要求の受入れについての意思決定では,リスク,事業利益及び技術的実現可能性を考慮しなければならない。
【解説】
ア: CMDBに記録されているCIの原本を,セキュリティが保たれた物理的又は電子的に格納庫で管理しなければならない。
誤り。JIS Q 20000-1には、CI(構成アイテム)の管理に関する具体的な物理的格納要件については規定されていません。
イ: 潜在的な問題を低減させるために,予防処置をとらなければならない。
誤り。これはリスク管理における一般的な指針ではありますが、JIS Q 20000-1で具体的に要求されている事項とは異なります。
ウ: 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的な影響を評価しなければならない。
正しい。JIS Q 20000-1では、変更管理プロセスの一環として、変更が情報セキュリティ基本方針や管理策に与える影響を評価することが求められています。
エ: 変更要求の受入れについての意思決定では,リスク,事業利益及び技術的実現可能性を考慮しなければならない。
誤り。変更管理プロセスで考慮される事項ではありますが、情報セキュリティ管理プロセスに特化した要求事項ではありません。
【答え】
ウ: 変更要求が情報セキュリティ基本方針及び管理策に与える潜在的な影響を評価しなければならない。
出典:平成30年度 秋期 情報処理安全確保支援士試験 午前II 問24