ISMS適合性評価制度において，組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと b 組織が情報資産を適切に管理し，それを守るための取組みを行っていること c 組織が提供する暗号モジュールには，暗号化機能，署名機能が適切に実装されていること
- アa
- イb
- ウb, c
- エc
正解と解説を見る
正解
イ b
ISMS認証は、組織が情報資産を守るためにリスクアセスメントに基づく管理策を定め、それを継続的に運用する情報セキュリティマネジメントの仕組みが整っていることを認証するものであり、bの内容がこれに該当する。ISMS認証はマネジメントの仕組みの適切性を評価するものであって、組織のWebサイトを構成するシステムに脆弱性が存在しないことを保証するものではなく(a)、提供する暗号モジュールの実装内容が適切であることを保証するものでもない(c)。これらは脆弱性診断や暗号モジュールの個別の認証制度など、別の技術的な検証によって確認すべき事項である。したがって、ISMS認証取得から判断できるのはbのみである。