JIS Q 20000-1における情報セキュリティ管理

JIS Q 20000-1:2012（ISO/IEC 20000-1） は、ITサービスマネジメントシステム（SMS）の国際規格です。「6.6 情報セキュリティ管理」プロセスにおいて、「組織は、変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない」と明確に規定されており、システムの変更がセキュリティリスクや既存の管理策を脅かさないかを変更管理プロセスと連携して事前に評価することが要求されています。 ア：構成品目（CI）の安全な原本保管（確証済みソフトウェア・文書等を管理する確定版メディアライブラリ：DMLなど）は「構成管理」プロセスにおける要求事項です。 イ：潜在的な問題を低減させるための予防処置は「問題管理」やシステム全体の継続的改善に関する一般要求事項です。 ウ：正解です。変更要求が情報セキュリティ基本方針や管理策に及ぼす影響を事前に評価することは、情報セキュリティ管理プロセスに対する規格の要求事項です。 エ：リスク、事業利益、実現可能性を考慮した変更の承認判定は「変更管理」プロセスにおける要求事項です。

ITサービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1:2012（サービスマネジメントシステム要求事項）が要求している事項はどれか。

出典平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問24
ア
CMDBに記録されているCIの原本を，セキュリティが保たれた物理的又は電子的な格納庫で管理しなければならない。
イ
潜在的な問題を低減させるために，予防処置をとらなければならない。
ウ
変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。
エ
変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。