ISMSのPDCAで是正・改善措置を決めるのはどの段階か
ITパスポート試験 令和3年度 問77 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
PDCAモデルに基づいてISMSを運用している組織の活動において，リスクマネジメントの活動状況の監視の結果などを受けて，是正や改善措置を決定している。この作業は，PDCAモデルのどのプロセスで実施されるか。
- ア
P
- イ
D
- ウ
C
- エ
A
会話形式の解説
講師今回の論点は、ISMS（情報セキュリティマネジメントシステム。組織が情報セキュリティを継続して管理する仕組み）をPDCAモデルで回すときの段階の区別です。注目してほしいのは、問題文の作業が「監視の結果などを受けて」行われている点です。
受験者「監視」という言葉が出てくるので、私は最初にCheckを思い浮かべました。でも、問われているのは是正や改善を決める作業なので、少し迷っています。
講師迷うのは自然です。まず4段階を整理しましょう。Planは計画、Doは実行、Checkは監視・評価、Actは処置・改善で、この順に進みます。監視そのものは、確かにCheckで行います。
受験者ということは、問題文の作業は監視そのものではなく、監視が終わって結果が出た後の作業ということですか。
講師そのとおりです。この問題では「監視の結果を受けて」とあるので、結果を生むCheckの次の段階を考えます。Checkで得た監視・評価の結果をもとに、是正や改善の措置を決めて実施するのがActです。
受験者残りの計画のPlanと実行のDoは、どうして違うのでしょうか。Planも対策を決めるので、改善を決めるのと似ている気がします。
講師Planは方針を定め、どんな対策をとるかを計画する段階です。この時点ではまだ監視の結果が出ていないので、その結果を受けて是正措置を決める作業には当たりません。Doは計画した対策を実際に導入して運用する段階で、実行が中心です。監視の結果を見て改善の内容を決める作業は含まれません。
受験者Checkは「監視して評価するところまで」で、その結果をどう直すか決めるのは次の段階、と分けて覚えればよさそうです。
講師その分け方で大丈夫です。監視という行為はCheck、監視の結果を受けた是正・改善措置の決定はAct、と結びつけておくと判断しやすくなります。
受験者是正や改善の措置を決めるのはActなので、正解はエですね。
講師はい、正解はエ（Act）です。選択肢の記号と段階名を取り違えないよう、PはPlan、DはDo、CはCheck、AはActと、頭文字と中身をセットで確認しておきましょう。
まとめ
この問題は、ISMSをPDCAモデルで運用するとき、監視の結果を受けて是正・改善措置を決める作業がどの段階に当たるかを問うものです。PDCAはPlan（計画）、Do（実行）、Check（監視・評価）、Act（処置・改善）の順に進みます。監視そのものはCheckで行いますが、その結果をもとに是正・改善措置を決めて実施するのはActです。したがって正解はエ（Act）です。Planは監視の結果が出る前の計画段階で、Doは対策の導入・運用が中心なので当てはまりません。
解答・解説
正解はエです
この問題のテーマ
ISMS（情報セキュリティマネジメントシステム）をPDCAモデルで運用するとき、監視の結果を受けて是正や改善の措置を決める作業が、どの段階に当たるかを問う問題です。
解き方の考え方
まず、PDCAの4段階で何をするかを整理します。順番はPlan（計画）、Do（実行）、Check（監視・評価）、Act（処置・改善）です。問題文の作業は「監視の結果などを受けて」行うので、監視をするCheckより後の段階になります。監視の結果をもとに是正や改善の措置を決めるのはActなので、正解はエです。
選択肢ごとの解説
- ×ア PPのplanは、方針を定めて、どんな対策をとるかを計画する段階です。この段階ではまだ監視の結果が出ていないため、その結果を受けて是正措置を決めるという問題文の作業には当たりません。
- ×イ DDのDoは、計画した対策を実際に導入して運用する段階です。対策を実行することが中心で、監視の結果を見て改善の内容を決める作業はこの段階に含まれません。
- ×ウ CCのCheckは、活動の状況を監視し評価する段階です。問題文の「監視」そのものはここで行いますが、問われているのはその結果を受けて是正・改善措置を決める作業です。これは次の段階で行うため、Checkは当てはまりません。
- ○エ AAのActは、Checkで得た監視・評価の結果をもとに、是正や改善の措置を決めて実施する段階です。問題文の作業は「監視の結果を受けて」措置を決めるもので、この段階の内容とそのまま一致します。
POINT
- PDCAは、Plan（計画）、Do（実行）、Check（監視・評価）、Act（処置・改善）の順に進みます。
- 監視や評価という行為そのものはCheckで行います。
- 監視の結果を受けて是正・改善措置を決める作業はActに当たります。
- 問題文に「〜の結果を受けて」とあれば、その結果を生む段階の次の段階を考えると、段階を判断しやすくなります。