情報セキュリティ管理プロセス｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問24
出典：平成30年秋期 午前Ⅱ 問24
分野：サービスマネジメント（中分類） ／ サービスマネジメント（小分類）
ITサービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1（サービスマネジメントシステム要求事項）が要求している事項はどれか。
- ア：CMDBに記録されているCIの原本を，セキュリティが保たれた物理的又は電子的に格納庫で管理しなければならない。
- イ：潜在的な問題を低減させるために，予防処置をとらなければならない。
- ウ：変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
- エ：変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。
TSUNAGARU-ADVICE
まず押さえたいこと
JIS Q 20000-1の情報セキュリティ管理プロセスでは、変更要求が情報セキュリティ基本方針や管理策にどのような影響を与えるかを評価することが求められます。つまり、変更を実施する前に、セキュリティ上の影響を確認することが重要です。
迷ったときの判断軸
CIの原本を管理する説明は構成管理、潜在的な問題を低減する予防処置は問題管理や継続的改善に近い内容です。変更要求の受入れでリスク・事業利益・技術的実現可能性を考慮する説明は変更管理全般の観点です。情報セキュリティ管理プロセスとしては、変更がセキュリティ方針や管理策に与える影響に注目しましょう。
科目Bにつなげるために
科目Bでは、システム変更・設定変更・FWルール変更・アクセス権限変更などが、セキュリティに与える影響を判断する問題が出ることがあります。変更管理では、業務上必要かだけでなく、既存のセキュリティ管理策を弱めないか、追加対策が必要かを確認する視点を持ちましょう。
※マネジメント関連試験向け。
情報セキュリティ管理では、変更によって既存のセキュリティ対策が弱まったり、新たなリスクが発生したりしないように、変更要求の影響を事前に確認する必要があります。
そのため、変更要求が情報セキュリティ基本方針や設定済みの管理策に与える潜在的な影響を評価します。例えば、システム構成やアクセス権限の変更によって、機密性・完全性・可用性が損なわれないかを確認します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：CMDBに記録されているCIの原本を，セキュリティが保たれた物理的又は電子的に格納庫で管理しなければならない。
⇒構成管理に関する説明です。ソフトウェアや文書などの正規版を保管する確定版メディアライブラリなどに関係する事項であり、情報セキュリティ管理プロセスに対する要求ではありません。
イ：潜在的な問題を低減させるために，予防処置をとらなければならない。
⇒問題管理やサービスマネジメントシステムの改善に関係する説明です。将来発生する可能性がある問題への予防処置を示しており、変更要求が情報セキュリティへ与える影響を評価する事項ではありません。
エ：変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。
⇒変更管理に関する説明です。変更を承認するかどうかを判断する際の一般的な考慮事項であり、情報セキュリティ管理プロセスに固有の要求ではありません。