JIS Q 20000-1が要求している事項｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問24
出典：平成28年春期 午前Ⅱ 問24
分野：サービスマネジメント（中分類） ／ サービスマネジメントシステムの計画及び運用
ITサービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1が要求している事項はどれか。
- ア：CMDBに記録されているCIの原本を，物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。
- イ：潜在的な問題を低減させるために，予防処置をとらなければならない。
- ウ：変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
- エ：変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 20000-1の情報セキュリティ管理では、サービスに対する変更が情報セキュリティに悪影響を与えないよう、変更要求の内容をセキュリティの観点から評価することが求められます。ポイントは、変更が情報セキュリティ基本方針・管理策へ与える影響を確認することです。
迷ったときの判断軸
CMDBやCI原本の管理は構成管理、予防処置は問題管理や改善に関係する考え方です。また、変更要求の受入れ判断でリスク・事業利益・技術的実現可能性を考慮するのは変更管理全般の論点です。情報セキュリティ管理では、変更によって既存のセキュリティ方針や管理策が損なわれないかを見ると切り分けやすくなります。
科目Bにつなげるために
ITサービスマネジメントの規格要求そのものは、支援士試験の科目Bで中心的に問われる可能性は高くありません。科目Aで変更管理と情報セキュリティ管理の関係を整理したら、科目B対策では、脅威・脆弱性・リスク・管理策・ログ分析・インシデント対応など、セキュリティ分野の重要論点を優先して深掘りしましょう。
JIS Q 20000-1の情報セキュリティ管理では、ITサービスに変更を加える場合、その変更によって情報セキュリティに悪影響が生じないかを確認することが求められます。
例えば、システム構成やアクセス権限を変更すると、従来のセキュリティ対策が十分に機能しなくなったり、新たな脆弱性が生じたりする可能性があります。そのため、変更要求が情報セキュリティ基本方針や管理策に与える潜在的な影響を評価する必要があります。
したがって、ウが適切です。
なお、JIS Q 20000-1は2020年版に改定され、2025年には追補も発行されています。本問は問題冊子で指定された2012年版の要求事項を前提としています。
❌他選択肢が誤りの理由ア：CMDBに記録されているCIの原本を，物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。
⇒構成管理に関する内容です。CI（Configuration Item：構成アイテム）の情報や原本を適切に管理することは重要ですが、情報セキュリティ管理プロセスに対する要求事項そのものではありません。
イ：潜在的な問題を低減させるために，予防処置をとらなければならない。
⇒問題の再発防止や潜在的な問題への対応に関する内容であり、問題管理や改善活動に関係します。情報セキュリティ管理プロセスの要求事項として問われているものではありません。
エ：変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。
⇒変更要求を評価・承認する変更管理に関する内容です。情報セキュリティ管理では、変更そのものを受け入れるかどうかだけでなく、変更が情報セキュリティ基本方針や管理策に与える影響を評価することが重要です。