解説

JIS Q 27001:2014の9.3「マネジメントレビュー」では，トップマネジメントが考慮すべきインプットが定められています。代表的なものは，①前回までのマネジメントレビューの結果とった処置の状況，②ISMSに関連する外部・内部の課題の変化，③情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置の状況，監視・測定の結果，監査結果，情報セキュリティ目的の達成），④利害関係者からのフィードバック，⑤リスクアセスメントの結果及びリスク対応計画の状況，⑥継続的改善の機会，です。正解cは「前回処置の状況／内部監査の結果／発生した不適合及び是正処置の状況」で，いずれもインプットに該当します。他の選択肢に含まれる「トップマネジメントが設定した情報セキュリティ目的」そのものはレビューのインプットではなく，インプットとなるのは『目的の達成状況』である点が見分けのポイントです。

なぜ他の選択肢は違うのか

選択肢 ア

「トップマネジメントが設定した情報セキュリティ目的」が含まれています。レビューのインプットになるのは目的そのものではなく『目的の達成状況』なので，この組合せは不適切です。

選択肢 イ

aと同様に「設定した情報セキュリティ目的」が含まれており不適切です。残り2項目（前回処置の状況・不適合及び是正処置の状況）はインプットですが，1項目が誤りのため全体として不正解です。

選択肢 エ

「設定した情報セキュリティ目的」を含むうえ，3項目中に正しいインプットが2項目しかありません。目的そのものはレビューで考慮すべき事項として規定されていません。

解くときのポイント

マネジメントレビューのインプットは『目的そのもの』ではなく『目的の達成状況』。前回処置状況・監査結果・不適合是正状況はインプットの定番。