ISMSにおける情報資産のリスク管理｜ITパスポート 令和8年 公開問題 問100
出典：令和8年 公開問題 問100
分野：技術要素 ／ セキュリティ
ISMSの活動に関する記述として，最も適切なものはどれか。
- ア：企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。
- イ：顧客の満足度を高めるために，ITサービスの品質を継続的に改善する。
- ウ：情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。
- エ：製品とサービスの開発プロセスの成熟度を評価し，改善する。
TSUNAGARU-ADVICE
まず押さえたいこと
ISMSは、情報資産を守るために、組織として情報セキュリティのリスクを管理し、取組みを継続的に改善する仕組みです。情報資産の把握とリスクアセスメントが重要な活動になります。
迷ったときの判断軸
情報資産・リスクの特定・分析・評価という語句があれば、情報セキュリティの管理を中心とするISMSを考えます。業務プロセス改善・ITサービスの品質改善・開発プロセス成熟度の評価とは管理対象が異なります。
次の学習につなげるために
ISMSの理解を深めるために、リスクアセスメントからリスク対応へ進む流れや、情報セキュリティ方針・管理策・継続的改善の関係を整理しましょう。
ISMS（情報セキュリティマネジメントシステム）は、組織の情報セキュリティを継続的に管理・改善するための仕組みです。情報資産を把握し、その資産に関するリスクを特定・分析・評価したうえで、適切な対策を検討・実施することが重要です。
設問ではISMSの活動を問われています。情報資産を洗い出してリスクを評価し、情報資産を管理するという記述が、ISMSにおけるリスクマネジメントの考え方に合致します。
したがって、ウが適切です。
❌他選択肢が誤りの理由
ア：企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。
⇒業務プロセスの改善に関する説明であり、ISMSに固有の情報セキュリティリスクの管理を表していません。
イ：顧客の満足度を高めるために，ITサービスの品質を継続的に改善する。
⇒ITサービスマネジメントにおけるサービス品質の改善に関する説明です。
エ：製品とサービスの開発プロセスの成熟度を評価し，改善する。
⇒開発プロセスの成熟度評価・改善に関する説明であり、ISMSの活動とは異なります。