攻略
CISMは「マネージャー目線」で解く
4 min read
CISMの問題は、4つの選択肢がどれも「やって悪くはない対策」に見えることがよくあります。差がつくのは知識の量よりも視点です。現場の技術者ではなく、経営と現場をつなぐ情報セキュリティマネージャーとして、組織にとって何が一番よいかを考えましょう。
マネージャー目線の5つの原則
- ビジネス目標に合わせる：セキュリティはそれ自体が目的ではなく、事業の目標を支えるためにあります
- 経営層の支援とガバナンスが先：技術の導入より、方針・役割・責任をはっきりさせることが先に来ます
- リスクに基づいて判断する：すべてを守るのではなく、影響と発生可能性に応じて優先順位を付けます
- リスクを受け入れるかどうかはリスクオーナー（業務側）が決める：マネージャーは判断材料を示して助言する立場です
- 「最初に（FIRST）」は、まず状況を理解・評価し、方針や計画を確認することが多い：いきなり対策を実行する選択肢には注意します
BEST / FIRST の考え方
| キーワード | 考え方のコツ |
|---|---|
| 最も適切な（BEST） | 技術的に正しいかより、組織全体の目的に最も直接つながるか。部分的な対策より、仕組みとして機能する対策を選ぶ |
| 最初に（FIRST） | いまプロセスのどの段階にいるかを確かめる。「評価・確認」の前に「実行・導入」を選んでいないか見直す |
| 最も重要な／主な目的 | 手段ではなく目的を答える。「なぜそれをするのか」を一段上から考える |
考え方の例（本記事のオリジナル例です。実際の試験問題ではありません）
例1：新しいクラウドサービスを使いたいと事業部から相談された。→ すぐに禁止したり、技術的な設定を決めたりするより、まずそのサービスが事業目標にどう役立つか、どんなリスクがあるかを評価するのがマネージャーらしい動きです。
例2：脆弱性診断で多数の指摘が見つかったが、予算は限られている。→ 件数の多い順や深刻度スコアだけで決めず、重要な業務や資産への影響が大きいものから対応するよう、リスクに基づいて優先順位を付けます。
例3：ある部門が、ある対策を見送りたいと言ってきた。→ 情報セキュリティマネージャーが独断で認めたり拒否したりするのではなく、残るリスクと代わりの対策（補完統制）を整理して示し、リスクオーナーに受け入れるかどうかを判断してもらいます。判断の結果は記録に残します。
迷ったら「この選択肢は自分の役割の範囲か」「もっと上流で決めるべきことはないか」と自問してみましょう。技術的には正しくても、マネージャーの役割や順番として不適切な選択肢は誤りになりやすいです。
マルテクテクでは、解説の「実務メモ」に現場での考え方をまとめています。正解した問題でも目を通すと、マネージャー目線が身につきやすくなります。