ガバナンスプロセスのモニター｜情報処理安全確保支援士試験 令和元年 秋期午前Ⅱ試験 問7

JIS Q 27014は、情報セキュリティガバナンスについて定めた規格です。簡単にいうと、組織が情報セキュリティを経営の視点でどのように管理・統制するかを示したものです。

情報セキュリティガバナンスでは、単に現場がセキュリティ対策を行うだけでなく、経営陣が目的や方針を示し、その達成状況を確認することが重要です。

目的	内容
戦略の整合	情報セキュリティの目的や戦略を、事業の目的や戦略と合わせる
価値の提供	経営陣や利害関係者にとって価値のある情報セキュリティ活動にする
説明責任	情報リスクに適切に対応していることを説明できるようにする

また、JIS Q 27014では、情報セキュリティを統治するためのプロセスとして、評価、指示、モニター、コミュニケーション、保証の5つを定義しています。

プロセス	意味
評価	現在の状況や今後の変化を踏まえ、目的達成のために何を調整すべきか判断する
指示	経営陣が、情報セキュリティの目的や戦略について方向性を示す
モニター	経営陣が、戦略的目的を達成できているか確認・評価できるようにする
コミュニケーション	経営陣と利害関係者が、情報セキュリティに関する情報を相互にやり取りする
保証	独立した立場からの監査、レビュー、認証などを委託する

設問で「モニター」が問われた場合は、「戦略的目的の達成を評価できるようにするプロセス」と判断します。

つまり、指示は「方針を出す」、モニターは「達成状況を見る」、保証は「第三者に確認してもらう」、コミュニケーションは「情報をやり取りする」と整理すると分かりやすいです。

したがって、イが適切です。

❌他選択肢が誤りの理由
ア：情報セキュリティの目的及び戦略について，指示を与えるガバナンスプロセス
⇒指示、又はDirectに関する説明です。経営陣が情報セキュリティの目的や戦略について方向性を示すプロセスであり、達成状況を継続的に把握するモニターとは異なります。

---

ウ：独立した立場からの客観的な監査，レビュー又は認証を委託するガバナンスプロセス
⇒保証、又はAssureに関する説明です。第三者や独立した立場による監査・レビュー・認証を通じて確認するプロセスであり、戦略的目的の達成状況を把握するモニターとは異なります。

---

エ：利害関係者との間で，特定のニーズに沿って情報セキュリティに関する情報を交換するガバナンスプロセス
⇒コミュニケーション、又はCommunicateに関する説明です。利害関係者と情報セキュリティに関する情報を共有・交換するプロセスであり、モニターの説明ではありません。

---