問58
頻出度★★★
ISMS の計画, 運用, パフォーマンス評価及び改善において, パフォーマンス評価で実施するものはどれか。
令和4年度 ITパスポート試験 問58
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 58
不正解ア
「運用の計画及び管理」は、決定した情報セキュリティ対策を実際に実行に移す「運用 (Do)」段階の活動であり、パフォーマンス評価ではない。
- イ
正解 ISMS (JIS Q 27001) の運用サイクルは PDCA に対応し、「計画 (Plan)・運用 (Do)・パフォーマンス評価 (Check)・改善 (Act)」の四段階から成る。このうちパフォーマンス評価 (Check) 段階では、ISMS が計画どおり機能し有効かを確認するため、監視・測定・分析・評価を行い、あわせて「内部監査」とマネジメントレビューを実施する。よって パフォーマンス評価で実施するものは イ「内部監査」であり、これが正解。
不正解ウ
「不適合の是正処置」は、評価で見つかった問題を正して ISMS をよりよくする「改善 (Act)」段階の活動であり、パフォーマンス評価ではない。
不正解エ
「リスクの決定」(リスクアセスメントによるリスクの特定・分析・評価) は、対策を立てる前提となる「計画 (Plan)」段階の活動であり、パフォーマンス評価ではない。
ここがポイント
- ISMS は PDCA サイクルに対応し、計画=Plan・運用=Do・パフォーマンス評価=Check・改善=Act と各段階の活動を区別できることが要点。
- パフォーマンス評価 (Check) 段階の代表的活動は、監視・測定・分析・評価と「内部監査」およびマネジメントレビューである。
用語