平成28年度 秋期 システムアーキテクト試験 午前Ⅱ 問23

JIS Q 27014:2015（情報セキュリティガバナンス） では、経営陣（統治機関）が情報セキュリティを統治するために実行するガバナンスプロセスとして、以下の5つのプロセスを規定しています。

1. 評価（Evaluate）：現在の及び将来の事業目的及び戦略に照らして、情報セキュリティの現状及び計画を検討・判断するプロセス。
2. 指示（Direct）：情報セキュリティの目的及び戦略について、指示を与えるプロセス。
3. モニタ（Monitor）：戦略的目的の達成を評価することを可能にするプロセス。
4. コミュニケーション（Communicate）：利害関係者との間で、特定のニーズに沿って情報セキュリティに関する情報を交換するプロセス。
5. アシュアランス（Assure）：独立した立場からの客観的な監査、レビュー又は認証を委託するプロセス。

設問で問われている “モニタ” に該当するのは、戦略的目的の達成を評価することを可能にするガバナンスプロセスであるため、正解は イ です。

各選択肢の解説

• ア：誤りです。情報セキュリティの目的及び戦略について指示を与えるのは、“指示（Direct）” のプロセスです。
• イ：正解です。戦略的目的の達成を評価することを可能にするのは、“モニタ（Monitor）” のプロセスです。
• ウ：誤りです。独立した立場からの客観的な監査、レビュー又は認証を委託するのは、“アシュアランス（Assure）” のプロセスです。
• エ：誤りです。利害関係者との間で情報セキュリティに関する情報を交換するのは、“コミュニケーション（Communicate）” のプロセスです。