「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

予備知識

問題

正解

ピヨピヨ解説

知識として知っているかの問題ですね。

「JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)」には以下のように書いてあります。

9.3 マネジメントレビュー
　トップマネジメントは，組織の ISMS が，引き続き，適切，妥当かつ有効であることを確実にするため に，あらかじめ定めた間隔で，ISMS をレビューしなければならない。
　マネジメントレビューは，次の事項を考慮しなければならない。
a) 前回までのマネジメントレビューの結果とった処置の状況
b) ISMS に関連する外部及び内部の課題の変化
c) 次に示す傾向を含めた，情報セキュリティパフォーマンスに関するフィードバック
　1) 不適合及び是正処置
　2) 監視及び測定の結果
　3) 監査結果
　4) 情報セキュリティ目的の達成
d)利害関係者からのフィードバック
　e)リスクアセスメントの結果及びリスク対応計画の状況
　f)継続的改善の機会

　マネジメントレビューからのアウトプットには，継続的改善の機会，及び ISMS のあらゆる変更の必要性に関する決定を含めなければならない。
　組織は，マネジメントレビューの結果の証拠として，文書化した情報を保持しなければならない。

今回の問題と関係があるところを以下に抜粋します。

マネジメントレビューは，次の事項を考慮しなければならない。
a) 前回までのマネジメントレビューの結果とった処置の状況
b) ISMS に関連する外部及び内部の課題の変化
c) 次に示す傾向を含めた，情報セキュリティパフォーマンスに関するフィードバック
　1) 不適合及び是正処置
　2) 監視及び測定の結果
　3) 監査結果
　4) 情報セキュリティ目的の達成
d)利害関係者からのフィードバック
　e)リスクアセスメントの結果及びリスク対応計画の状況
　f)継続的改善の機会

解答選択肢に出てくる項目は

１．前回までのマネジメントレビューの結果とった処置の状況
２．トップマネジメントが設定した情報セキュリティ目的
３．内部監査の結果
４．発生した不適合及び是正処置の状況

の4つです。

このうち考慮しなければいけない項目として挙げられているのは

１．前回までのマネジメントレビューの結果とった処置の状況
３．内部監査の結果
４．発生した不適合及び是正処置の状況

の3つですね。

「あれ？『情報セキュリティ目的』って単語も出てくるじゃん」と思うかもしれませんが、出てきているのは「情報セキュリティ目的の達成」なので違います……多分。

ということで（カンニングした答えにもそう書いてあったので）「ウ：前回までのマネジメントレビューの結果とった処置の状況、内部監査の結果、発生した不適合及び是正処置の状況」が正解です。