平成27年度秋期 ITパスポート試験問69

この問題の解説と、これまでの解答の記録です。

問69

頻出度★★★

PDCAモデルに基づいてISMSを運用している組織において，始業時の手順に従って業務用PCに適用されていないセキュリティパッチの有無を確認し，必要なパッチを適用している。この活動はPDCAサイクルのうちどれに該当するか。

出典　平成27年度秋期 ITパスポート試験問69

解説

問 69

不正解ア
P(Plan=計画)は、情報セキュリティ方針の策定、リスクアセスメント、適用する管理策や運用手順の設計を行う段階。設問は既に定められた手順を実行しているため、計画段階ではない。
イ
正解 PDCA サイクルの Do(実行)は、Plan で策定した情報セキュリティ方針・計画や管理策を実際に導入し、日常的に運用する段階である。設問の「始業時の手順に従って業務用 PC のパッチ未適用を確認し、必要なパッチを適用する」活動は、あらかじめ定められた運用手順を淡々と実施する日常運用であり、まさに Do に該当する。したがって選択肢イ(D)が正しい。ここでの『確認』は運用手順の一部であって、ISMS の有効性を評価する Check とは異なる点に注意する。
不正解ウ
C(Check=点検・評価)は、運用結果の監視・測定、内部監査、マネジメントレビューにより ISMS が計画どおり機能しているかを評価する段階。設問の『確認』は日常運用手順の一部であって、ISMS 全体の有効性を評価する点検活動ではない。
不正解エ
A(Act=改善)は、Check の結果を受けて是正処置や予防処置を行い、ISMS を継続的に改善する段階。設問は問題を評価してから改善策を講じる場面ではなく、既定手順の実行そのものなので該当しない。

ここがポイント

PDCA サイクル: Plan(方針・計画策定)→Do(導入・日常運用)→Check(監視・監査・レビュー)→Act(是正・継続的改善) の 4 段階を区別する。
既定の運用手順を実行する日常活動(パッチ適用など)は Do。手順内の『確認』作業を、ISMS の有効性を評価する Check と混同しないこと。

用語

解答問69イ