「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

予備知識

問題

正解

ピヨピヨ解説

ヤマカンで解けなくもない気はしますが、知識として知っているかの問題ですね。

「JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）」には以下のような記述が ありました。

1 適用範囲
この規格は，組織の状況の下で，ISMS を確立し，実施し，維持し，継続的に改善するための要求事項について規定する。この規格は，組織のニーズに応じて調整した情報セキュリティのリスクアセスメント及びリスク対応を行うための要求事項についても規定する。この規格が規定する要求事項は，汎用的であり，形態，規模又は性質を問わず，全ての組織に適用できることを意図している。組織がこの規格への適合を宣言する場合には，箇条 4～箇条 10 に規定するいかなる要求事項の除外も認められない。

そのものズバリ

箇条 4～箇条 10 に規定するいかなる要求事項の除外も認められない。

と書いてありますね。

よって「企画本文の箇条4～10に規定された要求事項」は「全て適用が必要である。」が正しいです。

また、以下のようにも書いてありました。

6 計画
6.1 リスク及び機会に対処する活動

（中略）

6.1.3 情報セキュリティリスク対応 組織は，次の事項を行うために，情報セキュリティリスク対応のプロセスを定め，適用しなければなら ない。
a)リスクアセスメントの結果を考慮して，適切な情報セキュリティリスク対応の選択肢を選定する。
b)選定した情報セキュリティリスク対応の選択肢の実施に必要な全ての管理策を決定する。注記 組織は，必要な管理策を設計するか，又は任意の情報源の中から管理策を特定することができる。
c)6.1.3 b)で決定した管理策を附属書 A に示す管理策と比較し，必要な管理策が見落とされていないことを検証する。
　注記 1 附属書 A は，管理目的及び管理策の包括的なリストである。この規格の利用者は，必要な管理策の見落としがないことを確実にするために，附属書 A を参照することが求められている。
　注記 2 管理目的は，選択した管理策に暗に含まれている。附属書 A に規定した管理目的及び管理策は，全てを網羅してはいないため，追加の管理目的及び管理策が必要となる場合がある。
d)次を含む適用宣言書を作成する。
　− 必要な管理策［6.1.3 の b) 及び c) 参照］及びそれらの管理策を含めた理由
　− それらの管理策を実施しているか否か
　− 附属書 A に規定する管理策を除外した理由
e)情報セキュリティリスク対応計画を策定する。
f)情報セキュリティリスク対応計画及び残留している情報セキュリティリスクの受容について，リスク所有者の承認を得る。

ハッキリとは書いてありませんが

附属書 A に規定する管理策を除外した理由

と書いてあるくらいですから、絶対に除外できないわけではないのでしょう。

よって「附属書A“管理目的及び管理策”に規定された管理策」は「妥当な理由があれば適用除外できる。」が正しいです。

ということで「イ：【企画本文の～】全て適用が必要である。【附属書A～】妥当な理由があれば適用除外できる。」が正解です。