問58
頻出度★★★
情報セキュリティマネジメントシステム (ISMS) の PDCA (計画・実行・点検・処置) において, 処置フェーズで実施するものはどれか。
平成22年度 秋期 ITパスポート試験 問58
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 58
- ア
正解 正解はア「ISMS の維持及び改善」。ISMS は JIS Q 27001 で PDCA サイクルによる継続的な運用が求められており、各フェーズは Plan=ISMS の確立、Do=ISMS の導入及び運用、Check=ISMS の監視及びレビュー、Act=ISMS の維持及び改善、と定義されている。設問の「処置」フェーズは PDCA の A(Act)にあたり、Check で見つかった不適合や監査・レビューの結果を受けて、是正処置・予防処置を実施し、ISMS そのものを維持しながら改善していく段階である。したがって Act で実施するのは「ISMS の維持及び改善」であり、アが正しい。
不正解イ
「ISMS の確立」は PDCA の P(Plan=計画)フェーズで実施する内容。適用範囲の決定、情報セキュリティ基本方針の策定、リスクアセスメントとリスク対応方針の決定など、ISMS の枠組みを作る活動であり、処置フェーズではない。
不正解ウ
「ISMS の監視及びレビュー」は PDCA の C(Check=点検)フェーズで実施する内容。運用状況の監視・測定、内部監査、マネジメントレビューによって有効性を評価する段階であり、評価結果を受けて手を打つ処置フェーズとは区別される。
不正解エ
「ISMS の導入及び運用」は PDCA の D(Do=実行)フェーズで実施する内容。Plan で決めた管理策を実際に導入し、教育・訓練を含めて日々運用する段階であり、処置フェーズではない。
ここがポイント
- ISMS の PDCA は 4 フェーズが定型的に対応する: Plan=ISMS の確立 / Do=ISMS の導入及び運用 / Check=ISMS の監視及びレビュー / Act=ISMS の維持及び改善。この対応表をそのまま覚えておけば選択肢を即座に振り分けられる。
- Act(処置)フェーズの本質は継続的改善。Check で検出した不適合に対する是正処置・予防処置を行い、その結果を次の Plan に反映させてサイクルを回し続ける点が問われる。
用語