正解：ア
各選択肢の解説
アマネジメントレビュー
正解。マネジメントレビューは、トップマネジメントがあらかじめ定めた間隔でISMS全体を見直し、 改善の機会や変更の必要性を決める活動です。監査結果などを「受け取って決める」立場にあります。
イ内部監査
誤り。内部監査は、ISMSが要求事項や自社の規程に適合し、有効に運用されているかを、 監査員が証拠を集めて確かめる活動です。問題文では監査の結果を受け取る側に回っています。 事実を確かめるのが内部監査、それを材料に経営として決めるのがマネジメントレビューです。
ウ是正処置
誤り。是正処置は、見つかった不適合の原因を取り除き、再発を防ぐための処置です。 マネジメントレビューの材料には不適合と是正処置の状況も含まれるため混同しがちですが、 個々の不適合への手当てで、ISMS全体の妥当性を判断する活動ではありません。
エ情報セキュリティリスクアセスメント
誤り。リスクアセスメントは、リスクを特定・分析・評価して、対応すべきリスクを明らかにする プロセスです。その結果もレビューの材料になりますが、問題文のようにISMS全体が適切かを トップマネジメントが判断する場ではありません。
理解を深めるために
マネジメントレビューは「経営が仕組みそのものを見直す場」
ISMSのパフォーマンス評価には、現場の状況を測る監視・測定、規程どおりかを確かめる内部監査、 そしてトップマネジメントがISMS全体を見直すマネジメントレビューがあります。 内部監査が「健康診断」なら、マネジメントレビューは診断結果を見て経営が「生活を変えるか」を 決める場にあたります。
何を受け取り、何を決めるか
JIS Q 27001 では、トップマネジメントが、ISMSが引き続き適切・妥当かつ有効であることを 確実にするため、あらかじめ定めた間隔でレビューするよう求めています。材料になるのは、例えば次のものです。
- 前回のレビューで決めた処置の状況
- 内外の課題や利害関係者の要求の変化
- 不適合と是正処置、監視・測定の結果、監査結果、情報セキュリティ目的の達成状況
- リスクアセスメントの結果とリスク対応計画の状況
出力は、継続的改善の機会と、ISMSの変更の必要性に関する決定です。 受け取るだけで決めなければ、レビューをしたことになりません。
混同しやすいものとの違い
| 活動 | 誰が | 何をするか |
|---|---|---|
| マネジメントレビュー | トップマネジメント | ISMS全体の妥当性を判断し、変更を決める |
| 内部監査 | 監査員 | 適合し有効に運用されているかを確かめる |
| 是正処置 | 担当部門 | 個々の不適合の原因を除き再発を防ぐ |
| リスクアセスメント | リスク所有者など | リスクを特定・分析・評価する |
他の3つの結果がマネジメントレビューの材料になる、という関係を押さえると見分けやすくなります。