平成29年度 春期 ITパスポート 問75（テクノロジ）

【ISMSの“パフォーマンス評価”】

ISMSの規格（JIS Q 27001）では、ISMSの活動を、主に次のように分けています。

・計画：リスクと機会を決定し、情報セキュリティリスクアセスメントやリスク対応の進め方を計画する

・運用：計画に従って、リスクアセスメントやリスク対応を実施する

・パフォーマンス評価：ISMSが有効に機能しているかを、監視、測定、分析、評価し、内部監査やマネジメントレビューを行う

・改善：見つかった不適合に対して是正処置を行い、ISMSを継続的に改善する

【選択肢の検討】

ア：情報セキュリティリスクアセスメントは、計画で進め方を定め、運用で実施するものです。

イ：内部監査は、ISMSが有効に機能しているかを確かめるもので、パフォーマンス評価で実施します。

ウ：不適合の是正処置は、改善で実施します。

エ：リスク（及び機会）の決定は、計画で実施します。

よって、正解は選択肢イです。