問62
頻出度★★★
情報セキュリティマネジメントシステム (ISMS) の PDCA (計画・実行・点検・処置) において, 点検フェーズで実施するものはどれか。
平成24年度 春期 ITパスポート試験 問62
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 62
不正解ア
「ISMS の維持及び改善」は処置 (Act) フェーズの活動。点検で見つかった不適合や弱点に対して是正処置・予防処置を打ち、ISMS を次のサイクルへ改善して引き渡す段階であり、点検そのものではない。点検で評価した結果を受けて動く後工程なので、順序としても点検の次に来る。
不正解イ
「ISMS の確立」は計画 (Plan) フェーズの活動。適用範囲を決め、情報セキュリティ方針を定め、リスクアセスメントを行ってリスク対応方針や管理策を選ぶ、という ISMS の設計にあたる段階であり、サイクルの出発点。まだ運用実績が無いので監視・評価の対象すら存在しない。
- ウ
正解 ISMS は PDCA サイクルを回して継続的に改善する仕組みで、各フェーズにやることが規格上はっきり割り当てられている。点検 (Check) フェーズは、計画どおりに導入・運用できているか、決めた情報セキュリティ目的が達成できているかを「測って確かめる」段階であり、具体的には運用状況の監視、有効性の測定、内部監査、マネジメントレビューといった活動を行う。選択肢ウの「ISMS の監視及びレビュー」がまさにこの内容そのものなので、ウが正解。ポイントは、点検フェーズは新たに何かを作ったり直したりする段階ではなく、現状を評価して次の処置 (Act) につなぐ材料を集める段階だ、という点である。
不正解エ
「ISMS の導入及び運用」は実行 (Do) フェーズの活動。計画で選んだ管理策を実際に導入し、手順を運用し、従業員教育や資源の割当てを行って ISMS を回す段階。ここで作られた運用実績を後から測るのが点検フェーズなので、実行と点検は別のフェーズである。
ここがポイント
- ISMS の PDCA 対応は暗記事項: 計画 (Plan) = ISMS の確立、実行 (Do) = ISMS の導入及び運用、点検 (Check) = ISMS の監視及びレビュー、処置 (Act) = ISMS の維持及び改善。選択肢の言い回しがそのまま規格の表現に対応する。
- 点検フェーズの中身は、運用状況の監視・有効性の測定・内部監査・マネジメントレビューといった「評価する活動」であり、改善策を実施するのは次の処置フェーズ。評価と改善実施を混同しないことが正誤の分かれ目になる。
用語