平成29年度 秋期 ITパスポート 問80（テクノロジ）
出典：平成29年度 秋期 ITパスポート試験 公開問題 問80（独立行政法人情報処理推進機構（IPA））
ISMS適合性評価制度において，組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。
a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと
b 組織が情報資産を適切に管理し，それを守るための取組みを行っていること
c 組織が提供する暗号モジュールには，暗号化機能，署名機能が適切に実装されていること
- アa
- イb
- ウb，c
- エc
正解と解説を見る
正解：イ
【ISMS認証で判断できること】
ISMS適合性評価制度は、組織のISMS（Information Security Management System、情報セキュリティマネジメントシステム）が、規格（JIS Q 27001など）の要求事項に適合しているかを、第三者の認証機関が審査して認証する制度です。
ISMS認証は、組織が情報資産を適切に管理し、守るための仕組みを作って運用していることを示すものです。個々のシステムに脆弱性がないことや、個々の製品の機能が正しく実装されていることを保証するものではありません。
【a〜cの検討】
a：ISMS認証は、管理の仕組みを評価するもので、Webサイトのシステムに脆弱性がないことまでは判断できません。
b：組織が情報資産を適切に管理し、守るための取組みを行っていることは、ISMS認証から判断できます。
c：暗号モジュールの機能が適切に実装されていることは、ISMS認証からは判断できません。暗号モジュールについては、別の試験・認証の制度があります。
ISMS認証から判断できるのはbだけです。よって、正解は選択肢イです。