情報セキュリティポリシーの監査はどの段階か
ITパスポート試験 令和元年度秋期 問68 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
1年前に作成した情報セキュリティポリシーについて，適切に運用されていることを確認するための監査を行った。この活動はPDCAサイクルのどれに該当するか。
- ア
P
- イ
D
- ウ
C
- エ
A
会話形式の解説
講師注目するのは、ポリシーを作る活動か、運用状況を確かめる活動かという点です。
受験者ポリシーが出てくるので、計画を表すPかと思いました。
講師PはPlan、方針や計画を定める段階です。今回は作成済みのポリシーを監査しているので、計画には当たりません。
受験者運用についての監査なら、実行を表すDでしょうか。
講師DはDo、計画に沿って対策を実行・運用する段階です。監査は運用そのものではなく、運用状況を確かめています。
受験者状況を確かめて評価するなら、点検を表すCですか。
講師そのとおりです。CはCheckです。適切に運用されているかを監査する活動が該当します。
受験者改善を表すAとは、どこで区別しますか。
講師AはActで、点検結果を受けて対策を見直す段階です。問題文にあるのは監査であり、その結果を受けた見直しではありません。
受験者監査で運用状況を確かめるのがCで、結果を受けて見直すのがAですね。
まとめ
PDCAサイクルでは、Pは計画、Dは実行、Cは点検、Aは改善を表します。作成済みの情報セキュリティポリシーが適切に運用されているかを監査する活動は、点検に当たります。監査結果を受けて対策を見直す活動なら改善です。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティポリシーの運用監査が、PDCAサイクルのどの段階に当たるかを問う問題です。
解き方の考え方
PDCAは、計画・実行・点検・改善の順に進めます。問題文では、作成済みのポリシーが適切に運用されているかを監査しています。運用状況を確認して評価する活動なので、点検を表すCに当たります。
選択肢ごとの解説
- ×ア PPはPlan（計画）で、方針や計画を定める段階です。この監査では、すでに作成したポリシーの運用状況を確認しているため、計画には当たりません。
- ×イ DDはDo（実行）で、計画に沿って対策を実行・運用する段階です。監査は運用そのものではなく、その状況を確かめる活動です。
- ○ウ CCはCheck（点検）で、実施状況を点検・評価する段階です。ポリシーが適切に運用されているかを監査する活動はこれに当たるため、ウが正解です。
- ×エ AAはAct（改善）で、点検結果を受けて対策を見直す段階です。問題文にあるのは運用状況の監査であり、監査結果を受けた見直しではありません。
補足
「監査」という語に注目すると、運用する段階のDと区別できます。監査で確かめるのがC、その結果を受けて見直すのがAです。
POINT
- Pは方針や計画を定める段階です。
- Dは計画に沿って対策を実行・運用する段階です。
- Cは実施状況を点検・評価する段階で、運用監査が該当します。
- Aは点検結果を受けて対策を見直す段階です。