問69
頻出度★★★
PDCAモデルに基づいてISMSを運用している組織において，始業時の手順に従って業務用PCに適用されていないセキュリティパッチの有無を確認し，必要なパッチを適用している。この活動はPDCAサイクルのうちどれに該当するか。
平成27年度 秋期 ITパスポート試験 問69
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 69
错误ア
P（Plan＝计划）是进行信息安全策略的制定、风险评估，以及设计所采用的控制措施和运行步骤的阶段。题目中执行的是已经规定好的步骤，所以不属于计划阶段。
- イ
正解 PDCA 循环中的 Do（实施）阶段，是把在 Plan 阶段制定的信息安全策略、计划以及控制措施实际导入并进行日常运行的阶段。题目中「按照上班开始时的操作步骤，确认业务用 PC 上是否存在尚未应用的安全补丁，并应用必要的补丁」这一活动，是按照事先规定好的运行步骤踏实执行的日常运行，正好属于 Do。因此选项 イ（D）正确。需要注意，这里的「确认」是运行步骤的一部分，与评价 ISMS 有效性的 Check 阶段不同。
错误ウ
C（Check＝检查、评价）是通过对运行结果的监视与测量、内部审计、管理评审来评价 ISMS 是否按计划正常运转的阶段。题目中的「确认」是日常运行步骤的一部分，并不是评价整个 ISMS 有效性的检查活动。
错误エ
A（Act＝改进）是根据 Check 的结果采取纠正措施和预防措施，对 ISMS 进行持续改进的阶段。题目并不是先评价问题再采取改进对策的场景，而是执行既定步骤本身，所以不符合。
ここがポイント
- PDCA 循环：区分 Plan（制定策略与计划）→Do（导入与日常运行）→Check（监视、审计、评审）→Act（纠正与持续改进）这 4 个阶段。
- 执行既定运行步骤的日常活动（如应用补丁）属于 Do。不要把步骤内的「确认」工作与评价 ISMS 有效性的 Check 混为一谈。
用語