問57
頻出度★★★
ISMS を運用している組織において, 退職者が利用していた ID を月末にまとめて削除していたことについて, 監査で指摘を受けた。これを是正して退職の都度削除するように改めるのは, ISMS の PDCA サイクルのどれに該当するか。
平成25年度 秋期 ITパスポート試験 問57
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 57
不正解ア
P (Plan) は、情報セキュリティ方針や適用範囲、リスクアセスメント方針、管理策や運用手順をあらかじめ策定する段階。本問の行為は監査指摘という点検結果を受けた後の是正であり、ゼロから計画を立てる場面ではないので Plan ではない。
不正解イ
D (Do) は、Plan で決めた手順や管理策をそのとおりに運用・実施し、教育や記録を行う段階。ID を月末に一括削除していた従来の運用こそが Do に相当し、その運用のやり方自体を見直して改める行為は Do には当たらない。
不正解ウ
C (Check) は、運用状況を監視・測定し、内部監査やマネジメントレビューで有効性を評価する段階。本問では「監査で指摘を受けた」ところまでが Check であり、問われているのはその後に運用を改めた行為なので Check ではない。
- エ
正解 ISMS の PDCA サイクルは、Plan (計画: 方針・目標・手順の策定) → Do (運用: 計画どおりの実施) → Check (点検: 監視・測定・監査・レビュー) → Act (改善: 点検結果に基づく是正処置・継続的改善) という順で回る。本問では「監査で指摘を受けた」時点までが Check であり、その指摘を受けて「月末一括削除」という不適切な運用を「退職の都度削除」へ改めることは、点検で見つかった不適合を取り除く是正処置そのものである。是正処置・継続的改善は Act の活動なので、「A」に当たる選択肢エが正解となる。
ここがポイント
- ISMS の PDCA: Plan=計画策定、Do=運用・実施、Check=監視・測定・内部監査、Act=是正処置と継続的改善。どの段階かは「行為の目的」で判断する。
- 監査・レビューで見つかった不適合に対する是正処置および再発防止は Act (継続的改善) に分類される。監査そのものは Check、監査後の改善は Act と切り分けて覚える。
用語