解説

JIS Q 27001:2014の6.2では，情報セキュリティ目的をどのように達成するかを計画する際に決定すべき事項として，①実施事項，②必要な資源，③責任者，④達成期限，⑤結果の評価方法，を挙げています。設問では『実施事項』『責任者』『達成期限』が既に示されており，残る決定事項は『必要な資源』及び『結果の評価方法』です。したがって正解はaです。目的を立てるだけでなく，達成に必要な人・物・金などの資源を確保し，達成度をどう測るか（評価方法）まで定めることで，計画が実行可能で測定可能なものになります。選択肢の『適用する管理策』や『必要なプロセス』は，リスク対応や運用に関わる事項であり，6.2が定める目的達成計画の決定事項には含まれません。

なぜ他の選択肢は違うのか

選択肢 イ

「必要な資源」は正しいですが「適用する管理策」が誤りです。管理策の適用はリスク対応（6.1.3）で扱う事項であり，目的達成計画（6.2）で決定すべき5項目には含まれません。

選択肢 ウ

「結果の評価方法」は正しいですが「必要なプロセス」が誤りです。6.2が定めるのは『必要な資源』であり，プロセスという表現の項目は規定されていません。

選択肢 エ

「必要なプロセス」「適用する管理策」とも6.2の目的達成計画の決定事項ではありません。正しくは『必要な資源』と『結果の評価方法』です。

解くときのポイント

27001の目的達成計画（6.2）で決める5項目＝実施事項・必要な資源・責任者・達成期限・結果の評価方法。設問で示された3つ以外を選ぶ。