問75
頻出度★★★
ISMSの運用において, 監査結果をインプットとし, ISMSを継続的に改善するための是正処置及び予防処置を行うプロセスはPDCAサイクルのどれにあたるか。
平成27年度 春期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 75
不正解ア
P (Plan) は、情報セキュリティ方針の策定、適用範囲の決定、リスクアセスメントとリスク対応方針の決定、管理策の選択など、ISMS を「計画・確立」する段階です。監査結果を受けて処置を行う段階ではありません。
不正解イ
D (Do) は、Plan で決めた方針・管理策を実際に「導入し運用する」段階で、教育や日々の運用手順の実施が中心です。監査結果に基づく是正処置・予防処置は Do ではなく Act の役割です。
不正解ウ
C (Check) は、ISMS の運用状況を「監視・測定・点検」する段階で、内部監査やマネジメントレビューによって有効性を評価します。監査を実施して結果を得るところまでが Check であり、その結果を使って是正処置・予防処置を行うのは次の Act です。
- エ
正解 正解は エ (A = Act) です。ISMS (情報セキュリティマネジメントシステム) は PDCA サイクルで運用され、Plan で方針・リスクアセスメント・管理策を計画し、Do で計画した管理策を導入・運用し、Check で監視・測定・内部監査によって有効性を点検し、Act でその点検・監査の結果を受けて是正処置および予防処置を実施します。設問は「監査結果をインプットとし」「継続的に改善するための是正処置及び予防処置を行う」プロセスを問うており、これはまさに Act (改善・処置) の段階に当たります。ポイントは、監査を「行う」のは Check、監査で見つかった問題に対して「手を打ち改善につなげる」のが Act という役割分担です。
ここがポイント
- ISMS の PDCA: Plan=方針策定・リスクアセスメント・管理策の選択、Do=管理策の導入と運用、Check=監視・測定・内部監査による有効性の点検、Act=監査結果に基づく是正処置・予防処置による継続的改善。
- 「監査を実施する」のは Check、「監査結果を受けて是正処置・予防処置をとる」のは Act。この境目が本問の分岐点であり、継続的改善 (Continual Improvement) というキーワードが出たら Act を想起する。
用語