ISMSのパフォーマンス評価では何を確かめるか
ITパスポート試験 令和4年度 問58 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSの計画，運用，パフォーマンス評価及び改善において，パフォーマンス評価で実施するものはどれか。
- ア
運用の計画及び管理
- イ
内部監査
- ウ
不適合の是正処置
- エ
リスクの決定
会話形式の解説
講師この問題は、ISMSの活動を四つの段階に振り分けます。パフォーマンス評価では、運用状況や適合状況を確かめます。
受験者「評価」なら、リスクを決める活動も含まれそうです。どう区別すればよいですか。
講師何のための活動かで考えます。リスクの決定は、ISMSをどう進めるかを考える計画段階です。
受験者では、決めた内容に沿って動かす「運用の計画及び管理」は、運用段階ですね。
講師そのとおりです。運用した結果を確かめる活動として、内部監査があります。ISMSの適合状況を確認するので、正解は内部監査です。
受験者内部監査で問題が見つかった場合の是正処置も、評価に含まれますか。
講師不適合の是正処置は、見つかった問題に対応する改善段階の活動です。適合状況を確かめる内部監査とは段階が異なります。
受験者確かめるのが評価、見つかった問題に対応するのが改善、と整理できます。
講師はい。パフォーマンス評価には、監視、測定、分析及び評価も含まれます。活動の目的を見ると区別しやすくなります。
まとめ
ISMSのパフォーマンス評価では、運用状況や適合状況を確かめます。内部監査は適合状況を確認する活動なので、正解はイです。運用の計画及び管理は運用段階、リスクの決定は計画段階に当たります。不適合の是正処置は、見つかった問題に対応する改善段階の活動です。
解答・解説
正解はイです
この問題のテーマ
ISMSの活動を、計画・運用・パフォーマンス評価・改善のどの段階で行うかを問う問題です。
解き方の考え方
各選択肢が何を目的とする活動かを見て、段階に振り分けます。パフォーマンス評価は、ISMSの運用状況や適合状況を確かめる段階です。内部監査がこれに当たるので、正解はイです。
選択肢ごとの解説
- ×ア 運用の計画及び管理アの運用の計画及び管理は、決めた内容に沿ってISMSを動かす運用段階の活動です。パフォーマンス評価に当たる活動ではありません。
- ○イ 内部監査イの内部監査は、ISMSの適合状況を確認する活動です。運用の結果を確かめるパフォーマンス評価に含まれるため、これが正解です。
- ×ウ 不適合の是正処置ウの不適合の是正処置は、見つかった問題に対応する改善段階の活動です。状況を評価する内部監査とは、活動の段階が異なります。
- ×エ リスクの決定エのリスクの決定は、ISMSをどう進めるかを考える計画段階で扱います。運用後の状況を確かめるパフォーマンス評価には当たりません。
補足
「評価」と「改善」を混同しないことが解答の手がかりです。内部監査は適合状況を確かめ、見つかった不適合の是正処置は改善として扱います。
POINT
- 内部監査はパフォーマンス評価に含まれます。
- 監視、測定、分析及び評価もパフォーマンス評価の活動です。
- 運用の計画及び管理は運用段階に属します。
- 不適合の是正処置は改善段階に属します。
- リスクの決定は計画段階で扱います。