問84
頻出度★★★
情報セキュリティマネジメントシステム (ISMS) では, “PDCA” のアプローチを採用している。D の段階で行うものはどれか。
平成23年度 特別試験 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 84
不正解ア
「ISMS の運用に対する監査を定期的に行う」のは C (Check=監視及びレビュー) の段階です。内部監査や有効性測定は、運用した結果が計画どおりか、管理策が有効かを点検する活動であり、実行そのものではありません。監査の結果は次の A (Act=維持及び改善) の是正処置につながります。
不正解イ
「ISMS の基本方針を定義する」のは P (Plan=確立) の段階です。基本方針 (情報セキュリティポリシーの最上位) は ISMS の適用範囲や目的とともに最初に定めるもので、以降の運用や点検の土台になります。方針づくりは実行ではなく計画に位置づけられます。
- ウ
正解 ISMS の PDCA サイクルで D (Do) は「導入及び運用」の段階、つまり P (計画) で決めた情報セキュリティ方針・リスク対応方針・管理策を実際に組織へ適用して回す段階です。ウ の「従業者に対する ISMS 運用に関する教育と訓練」は、決定済みの管理策を現場の人が実行できるようにするための運用活動そのものであり、まさに D の段階で行うものです。管理策は文書に書いただけでは機能せず、人が理解し実践して初めて働くため、教育・訓練は Do の代表的な実施項目とされています。
不正解エ
「リスクを評価して、対策が必要なリスクとその管理策を決める」のも P (Plan) の段階です。リスクアセスメント (特定・分析・評価) とリスク対応方針・管理策の選定は、何を実行するかを決める計画作業であり、決めた管理策を動かす D の前工程にあたります。
ここがポイント
- ISMS の PDCA 対応: P=ISMS の確立 (基本方針・適用範囲の決定、リスクアセスメントと管理策の選定)、D=導入及び運用 (管理策の実施、教育・訓練、運用手順の適用)、C=監視及びレビュー (有効性測定、内部監査、マネジメントレビュー)、A=維持及び改善 (是正処置・予防処置)。
- 「決める・計画する」は P、「実際にやる」は D、「点検・監査する」は C、「直す・改善する」は A、と動詞で仕分けると選択肢を素早く判別でき、PDCA を回し続けることが継続的改善につながる。
用語