解説

情報セキュリティ管理基準（平成28年）は経済産業省が策定した、組織の情報セキュリティマネジメントの実践規範です。JIS Q 27001（ISMS認証規格）とJIS Q 27002（実践規範）を参照して作成されており、「ガバナンス基準」「マネジメント基準」「管理策基準」の3部構成になっています。選択肢bの「JIS Q 27001:2014（情報セキュリティマネジメントシステム）を参考に作成されている」が正しい記述です。管理基準の位置付け：「ガバナンス基準」＝経営層・取締役会レベルの情報セキュリティガバナンス。「マネジメント基準」＝情報セキュリティマネジメントの計画・実施・評価・改善（PDCA）。「管理策基準」＝技術的・組織的・人的・物理的な具体的管理策（JIS Q 27002相当）。

なぜ他の選択肢は違うのか

選択肢 ア

「ガバナンス基準・管理策基準及びマネジメント基準の3部構成である」は選択肢b・c・dの内容を確認せずに構成だけを見た場合の誤答です。3部構成の順序・名称については正しい可能性がありますが、JIS Q 27001を参照している点（b）が最も適切な記述です。

選択肢 ウ

「情報セキュリティ対策は管理策基準に挙げられているものだけを選択し実施すれば、ISMSの認証を受けることができる」は誤りです。ISMS認証はJIS Q 27001への適合が必要であり、管理策は組織のリスクアセスメント結果に基づいて選択・適用します。管理策基準の全項目を実施すれば認証される、という仕組みではありません。

選択肢 エ

「トップマネジメントはマネジメント基準に挙げられている管理策を全て実施しなければならない」は誤りです。管理基準は実施すべき「規範」を示すものですが、全管理策を一律に実施する義務はなく、リスクアセスメントに基づく適用判断が必要です。

解くときのポイント

情報セキュリティ管理基準（平成28年）の特徴：JIS Q 27001/27002を参照・3部構成（ガバナンス・マネジメント・管理策基準）・経営層からIT担当者まで対応する体系。「JIS Q 27001参照」が正しいかどうかの確認が鍵。