問75
頻出度★★★
ISMSの「計画」，「運用」，「パフォーマンス評価」及び「改善」において，「パフォーマンス評価」で実施するものはどれか。
平成29年度 春期 ITパスポート試験 問75
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 75
不正解ア
情報セキュリティリスクアセスメントは、リスクを特定・分析・評価してリスク対応の方針を定める活動で、主に「計画（Plan）」段階（および運用段階での実施）に位置づけられる。パフォーマンス評価の活動ではないため誤り。
- イ
正解 正解はイ「内部監査」。ISMS は PDCA サイクルで運用され、設問の四つは「計画（Plan）」「運用（Do）」「パフォーマンス評価（Check）」「改善（Act）」に対応する。「パフォーマンス評価」段階は ISMS が意図どおり機能しているかを点検・確認するフェーズで、監視・測定・分析・評価、内部監査、マネジメントレビューがここで実施される。内部監査は ISMS が要求事項に適合し有効に運用されているかを組織自らが検証する活動であり、まさにパフォーマンス評価に該当するため正しい。
不正解ウ
不適合の是正処置は、監査などで見つかった不適合の原因を除去し再発を防ぐ活動で、「改善（Act）」段階に位置づけられる。評価で見つけた問題を正す後工程であり、パフォーマンス評価そのものではないため誤り。
不正解エ
リスクの決定（リスクアセスメントによってどのリスクへ対応するかを定めること）は、方針や対応を計画する「計画（Plan）」段階の活動である。パフォーマンス評価で実施するものではないため誤り。
ここがポイント
- ISMS は PDCA サイクルで運用され、「計画＝Plan」「運用＝Do」「パフォーマンス評価＝Check」「改善＝Act」に対応する。
- 「パフォーマンス評価（Check）」では監視・測定・分析・評価、内部監査、マネジメントレビューを実施し、ISMS が有効に機能しているかを点検する。
用語