この問題の解説と、これまでの解答の記録です。
PDCA モデルに基づいて ISMS を運用している組織の活動において, 次のような調査報告があった。この調査は PDCA モデルのどのプロセスで実施されるか。 社外からの電子メールの受信に対しては, 情報セキュリティポリシーに従ってマルウェア検知システムを導入し, 維持運用されており, 日々数十件のマルウェア付き電子メールの受信を検知し, 破棄するという効果を上げている。しかし, 社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく, 社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
P(Plan)は ISMS の方針・目標を定め、リスクを評価して管理策や運用手順を策定する計画段階である。調査報告は新たに計画を立てる活動ではなく、すでに運用されている対策を点検しているので Plan ではない。
D(Do)は計画した管理策を実際に導入・運用する実施段階である(マルウェア検知システムの導入・維持運用そのものが Do に当たる)。調査報告はその運用結果を「監視・評価」する活動であり、運用作業そのものではないので Do ではない。
正解 正解は ウ(C=Check)。PDCA における Check は、運用中の ISMS が情報セキュリティポリシーや手順どおりに機能し効果を上げているかを監視・点検・評価し、不備や弱点を洗い出す段階である。この調査報告は「受信メールのマルウェア検知は導入・維持運用され日々効果を上げている」と有効性を確認する一方、「送信メールには規定も明確な運用手順がなく誤送信リスクがある」と不備を指摘している。まさに現状の運用状況を点検・評価して問題点を見つける活動であり、Check プロセスに該当する。
A(Act)は点検結果を受けて是正・改善処置をとる段階で、ここでは送信メール用の規定・運用手順を新設するなどの対応がそれに当たる。調査報告は問題点を「洗い出した」段階にとどまり、まだ改善処置を実行していないので Act ではない。