問84
頻出度★★★
情報セキュリティマネジメントシステム (ISMS) では, “PDCA” のアプローチを採用している。D の段階で行うものはどれか。
平成23年度 特別試験 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 84
错误ア
「定期对 ISMS 的运行进行审计」属于 C (Check=监视与评审) 阶段。内部审计和有效性测量是检查运行结果是否符合计划、管理措施是否有效的活动，而不是执行本身。审计的结果会引出下一个 A (Act=保持与改进) 阶段的纠正措施。
错误イ
「定义 ISMS 的基本方针」属于 P (Plan=建立) 阶段。基本方针 (信息安全策略的最高层) 是与 ISMS 的适用范围和目标一起在最开始确定的内容，是之后运行和检查的基础。制定方针属于计划，而不是执行。
- ウ
正解 在 ISMS 的 PDCA 循环中，D (Do) 是「实施及运行」阶段，也就是把 P (计划) 阶段确定的信息安全方针、风险应对方针和管理措施实际应用到组织中并使其运转起来的阶段。选项 ウ 的「对员工实施有关 ISMS 运行的教育和培训」，正是为了让现场人员能够执行已确定的管理措施而开展的运行活动本身，恰好是 D 阶段要做的事情。管理措施只写在文件上并不会发挥作用，只有人理解并付诸实践才能真正起效，因此教育和培训被视为 Do 阶段的代表性实施项目。
错误エ
「评估风险，确定需要应对的风险及其管理措施」同样属于 P (Plan) 阶段。风险评估 (识别、分析、评价) 以及风险应对方针和管理措施的选定，是决定「要做什么」的计划工作，相当于运行已定管理措施的 D 阶段的前序工序。
ここがポイント
- ISMS 与 PDCA 的对应关系：P=建立 ISMS (确定基本方针和适用范围、风险评估与管理措施的选定)，D=实施及运行 (实施管理措施、教育和培训、执行运行程序)，C=监视与评审 (有效性测量、内部审计、管理评审)，A=保持与改进 (纠正措施、预防措施)。
- 按动词来分类：「决定、计划」是 P，「实际去做」是 D，「检查、审计」是 C，「纠正、改进」是 A。这样可以快速判别选项，而不断转动 PDCA 循环就带来持续改进。
用語