ISMSのPDCAで点検と改善を見分けるには
ITパスポート試験 令和2年度10月 問89 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
PDCAモデルに基づいてISMSを運用している組織の活動において，PDCAモデルのA(Act)に相当するプロセスで実施するものとして，適切なものはどれか。
- ア
運用状況の監視や運用結果の測定及び評価で明らかになった不備などについて，見直しと改善策を決定する。
- イ
運用状況の監視や運用結果の測定及び評価を行う。
- ウ
セキュリティポリシーの策定や組織内の体制の確立，セキュリティポリシーで定めた目標を達成するための手順を策定する。
- エ
セキュリティポリシーの周知徹底やセキュリティ装置の導入などを行い，具体的に運用する。
会話形式の解説
講師ISMSのPDCAでは、運用を点検する活動と、その結果を受けて改善を決める活動を区別します。
受験者監視して不備を見つけるところまでが、改善を表すActでしょうか。
講師監視や測定・評価はCheck、つまり点検です。不備が明らかになった後、見直しと改善策を決めるのがActに当たります。
受験者すると、監視や評価を行う選択肢は、改善につながっていてもCheckですね。
講師そのとおりです。問われているActに当たるのは、不備を踏まえて見直しと改善策を決める選択肢です。
受験者セキュリティポリシーや手順を策定する活動は、改善策を決めることと似て見えます。
講師その選択肢は、方針や体制、手順を整えて運用に向けた計画を立てる活動なので、Planです。
受験者方針を周知したり、装置を導入したりする活動は、決めたことを実行する段階ですね。
講師はい。具体的な運用に移す活動はDoです。
受験者方針や手順を決めるのがPlan、運用するのがDo、監視・評価がCheck、その結果から改善策を決めるのがActと整理できます。
講師特に「評価する」と「評価結果を受けて改善を決める」の違いが鍵です。ISMSでは、この四段階を繰り返して改善を続けます。
まとめ
ISMSのPDCAでは、方針や手順の策定がPlan、具体的な運用がDoに当たります。運用状況の監視と結果の測定・評価はCheckです。その点検で明らかになった不備を踏まえ、見直しと改善策を決める活動がActに当たります。
解答・解説
正解はアです
この問題のテーマ
ISMSのPDCAモデルで、Act（改善）に当たる活動を見分ける問題です。
解き方の考え方
まず、PDCAをPlan（計画）、Do（実施）、Check（点検）、Act（改善）に分けます。監視・測定・評価で不備を明らかにするのはCheckです。その結果を受けて見直しと改善策を決める活動がActに当たります。
選択肢ごとの解説
- ○ア 運用状況の監視や運用結果の測定及び評価で明らかになった不備などについて，見直しと改善策を決定する。アの「不備を踏まえて見直しと改善策を決める」という活動はActに当たります。Checkで得た評価結果を、次の改善の判断につなげています。
- ×イ 運用状況の監視や運用結果の測定及び評価を行う。イの運用状況の監視や結果の測定・評価は、現状を点検する活動です。改善策を決める前のCheckに当たります。
- ×ウ セキュリティポリシーの策定や組織内の体制の確立，セキュリティポリシーで定めた目標を達成するための手順を策定する。ウの方針、体制、手順の策定は、運用に向けた計画を立てる活動です。したがってPlanに当たります。
- ×エ セキュリティポリシーの周知徹底やセキュリティ装置の導入などを行い，具体的に運用する。エの方針の周知や装置の導入は、決めた方針を具体的に実施する活動です。したがってDoに当たります。
補足
「評価する」と「評価結果を受けて改善を決める」の違いが見分ける鍵です。ISMSでは、この四段階を繰り返して継続的な改善を図ります。
POINT
- Planでは方針、体制、手順を策定します。
- Doでは決めた方針を具体的な運用に移します。
- Checkでは運用状況を監視し、結果を測定・評価します。
- Actでは点検で明らかになった不備を踏まえ、見直しと改善策を決めます。