解説

JIS Q 27014:2015（情報セキュリティガバナンス）は、組織の経営陣（統治機関）が情報セキュリティを統治するためのガバナンスプロセスを定めた規格です。ガバナンスプロセスには、評価（Evaluate）、指示（Direct）、モニタ（Monitor）、コミュニケーション（Communicate）、保証（Assure）があります。このうち「モニタ（監視）」は、経営陣が、設定した情報セキュリティの戦略目的が達成されているかどうかを評価できるように、情報セキュリティのパフォーマンスを監視するプロセスです。選択肢bの「戦略的の目的の達成を評価することが可能にするガバナンスプロセス」が、モニタの説明として正解です。他の選択肢を確認すると、選択肢aの「目的や戦略について指示を与える」のは指示（Direct）、選択肢cの「独立した立場からの客観的な監査・レビュー・認証を委託する」のは保証（Assure）、選択肢dの「利害関係者との間で情報を交換する」のはコミュニケーション（Communicate）です。各プロセスの役割（評価・指示・監視・伝達・保証）を区別し、モニタが「戦略目的の達成状況を監視・評価できるようにする」ことを押さえましょう。

なぜ他の選択肢は違うのか

選択肢 ア

「情報セキュリティの目的及び戦略について、指示を与えるガバナンスプロセス」は、指示（Direct）の説明です。経営陣が情報セキュリティの方針や戦略の実行を指示するプロセスであり、戦略目的の達成状況を監視するモニタとは役割が異なります。情報セキュリティの方針や戦略の実行を指示するのは指示（Direct）の説明であり、戦略目的の達成状況を監視するモニタ（Monitor）とはガバナンスプロセスの役割が異なります。

選択肢 ウ

「独立した立場からの客観的な監査、レビュー又は認証を委託するガバナンスプロセス」は、保証（Assure）の説明です。第三者による客観的な評価を通じて情報セキュリティの状況を保証するプロセスであり、戦略目的の達成を監視するモニタとは役割が異なります。第三者による客観的な監査・レビュー・認証を通じて状況を保証するのは保証（Assure）の説明であり、戦略目的の達成を監視するモニタ（Monitor）とは役割が異なります。

選択肢 エ

「利害関係者との間で、特定のニーズに沿って情報セキュリティに関する情報を交換するガバナンスプロセス」は、コミュニケーション（Communicate）の説明です。ステークホルダとの情報共有を行うプロセスであり、戦略目的の達成を監視するモニタとは役割が異なります。利害関係者との情報共有を行うのはコミュニケーション（Communicate）の説明であり、戦略目的の達成状況を監視するモニタ（Monitor）とはガバナンスプロセスの役割が異なります。

解くときのポイント

JIS Q 27014のガバナンスプロセス：評価（Evaluate）・指示（Direct）・モニタ（Monitor＝戦略目的の達成を監視・評価可能にする）・コミュニケーション（Communicate）・保証（Assure）。各プロセスの役割で判別する。