ISMSのPDCAで改善をどう見分けるか
ITパスポート試験 平成31年度春期 問63 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
PDCAモデルに基づいてISMSを運用している組織において，A(Act)で実施することの例として，適切なものはどれか。
- ア
業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。
- イ
サーバ管理者の業務内容を第三者が客観的に評価する。
- ウ
サーバ室内の情報資産を洗い出す。
- エ
サーバの動作を定められた運用手順に従って監視する。
会話形式の解説
講師この問題は、ISMSのPDCAモデルで「改善」に当たる行動を見分けます。何をしたかに加え、そのきっかけにも注目します。
受験者サーバの監視に関する選択肢が二つあります。どちらもActに見えて迷います。
講師PDCAは計画のPlan、実行のDo、評価のCheck、改善のActの順です。Actでは、評価で分かったことを踏まえて運用を改善します。
受験者監査結果を受けて監視方法を変更するなら、評価の後に運用を改善していますね。
講師そのとおりです。監視方法の変更は、監査結果に基づく是正処置なのでActに当たります。
受験者一方、決められた手順どおりに監視するのは、方法を変えていません。
講師はい。決めたことを実行しているのでDoです。同じ「監視」でも、手順に従うのか、結果を受けて方法を変えるのかで段階が違います。
受験者第三者が業務を客観的に評価する場合は、改善の前に状況を確かめるCheckですか。
講師そうです。評価する行為はCheckです。サーバ室内の情報資産を洗い出す行為は、管理する対象を把握して計画を立てるためのPlanに当たります。
受験者資産の洗い出しがPlan、手順どおりの監視がDo、第三者による評価がCheck、監査結果を受けた方法の変更がActですね。
講師その整理で判断できます。特に「監視」という言葉だけで決めず、定められた方法を実行しているのか、評価結果を受けて方法を改善しているのかを確かめましょう。
まとめ
ISMSのPDCAモデルでは、Planで管理対象を把握し、Doで定めた手順を実行します。Checkでは運用を評価し、Actではその結果を踏まえて是正や改善を行います。監査結果に基づいてサーバの監視方法を変更する行動が、Actに当たります。
解答・解説
正解はアです
この問題のテーマ
ISMSのPDCAモデルで、監査結果を受けた改善がどの段階に当たるかを問う問題です。
解き方の考え方
PDCAは計画（Plan）、実行（Do）、評価（Check）、改善（Act）の順に進みます。Actでは、Checkで分かったことを踏まえ、問題を正したり運用を改善したりします。各選択肢が「準備」「実行」「評価」「改善」のどれを述べているかを見分けます。
選択肢ごとの解説
- ○ア 業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。監査結果を受けてサーバの監視方法を変更するのは、評価を踏まえた是正処置です。運用方法を改善する行為なので、Actに当たります。
- ×イ サーバ管理者の業務内容を第三者が客観的に評価する。第三者がサーバ管理者の業務を客観的に評価するのは、運用の状況を確かめる行為です。評価に当たるCheckであり、改善を行うActではありません。
- ×ウ サーバ室内の情報資産を洗い出す。サーバ室内の情報資産を洗い出すのは、管理すべき対象を把握する作業です。計画を立てるためのPlanに当たります。
- ×エ サーバの動作を定められた運用手順に従って監視する。定められた運用手順に従ってサーバを監視するのは、決めたことを実行する行為です。実行に当たるDoであり、手順を改善するActとは異なります。
補足
「監視」という語だけで段階を決めないことが大切です。手順どおりに監視するならDo、監査結果を受けて監視方法を変更するならActと判断します。
POINT
- Planでは、管理する対象を把握して計画を立てます。
- Doでは、定めた手順に従って運用します。
- Checkでは、運用の状況や結果を評価します。
- Actでは、評価結果を踏まえて是正や改善を行います。