ISMSのPDCAで運用状況の調査報告はどの段階に当たるか
ITパスポート試験 令和5年度 問79 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
PDCAモデルに基づいてISMSを運用している組織の活動において，次のような調査報告があった。この調査はPDCAモデルのどのプロセスで実施されるか。 社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
- ア
P
- イ
D
- ウ
C
- エ
A
会話形式の解説
講師今回は、ISMS、つまり情報セキュリティを管理する仕組みをPDCAで回している組織の話です。報告の中身が「計画・実施・評価・改善」のどれに当たるかを見極めるのが論点です。
受験者報告の最後に「誤送信のリスクがある」と問題点が書かれているので、私は改善のActかなと思いました。
講師そこが一番迷いやすいところです。Actは、評価の結果を受けて是正や改善を行う段階です。たとえば送信に関する規定を作ったり、誤送信を防ぐ仕組みを入れたりすればActです。報告に、そうした改善を実施したという記述はありますか。
受験者ありません。リスクを指摘しているだけで、対策はまだ何もしていないですね。
講師そうです。問題を見つけて報告した段階なので、まだActには進んでいません。では、報告の前半はどうでしょう。
受験者マルウェア検知システムを導入して維持運用している、と書いてあります。これは実施のDoに見えます。
講師システムを運用していること自体はDoに当たります。ただ、問われているのは運用そのものではなく、その運用を調べた調査がどのプロセスかです。日々数十件を検知・破棄しているという効果を確認していますよね。
受験者効果を確かめているということは、評価のCheckということですか。
講師そのとおりです。Checkは、対策の実施状況や効果を監視・測定・監査して評価する段階です。受信側の効果を確認し、送信側には規定がないという不備を報告しているので、Checkが正解です。
受験者計画のPlanはどうでしょう。送信側の規定がないのは、計画が足りなかったということにもなりそうです。
講師Planは、リスクアセスメント、つまりリスクの洗い出しと評価を行い、方針や手順を決める段階です。この報告は新しく計画を立てるものではなく、運用の結果と不足を伝えるものなので、Planではありません。
受験者整理すると、運用するのがDo、運用を調べて問題を見つけるのがCheck、見つけた問題を直すのがActですね。
講師よくまとまっています。監視、測定、内部監査、有効性の評価といった「調べて評価する」活動はCheckと覚えておくと便利です。「リスクがある」という言葉だけでActを選ばず、改善を実施した記述があるかを確かめる習慣をつけてください。
まとめ
ISMSをPDCAモデルで運用する組織で、運用中の対策の効果と不足を調べて報告する活動はCheck（評価）に当たります。マルウェア検知システムの運用自体はDoですが、その効果を確認し、送信側に規定がないリスクを指摘する調査は評価の活動です。問題点が書かれていてもActを選ばないよう注意が必要で、Actは見つけた問題を是正・改善する段階を指します。監視・測定・内部監査・有効性の評価はCheckと覚えておくと見分けやすくなります。
解答・解説
正解はウです
この問題のテーマ
ISMSをPDCAモデルで運用している組織で、運用中の対策の効果と不足を調べて報告する活動が、Plan・Do・Check・Actのどれに当たるかを問う問題です。
解き方の考え方
まず、調査報告の内容が「計画」「実施」「評価」「改善」のどれに当たるかを見極めます。報告では、すでに運用しているマルウェア検知の効果を確認し、そのうえで送信側に規定がないというリスクを指摘しています。運用の結果を調べて問題点を見つけるのは評価の活動なので、Checkが答えになります。改善策をまだ実施していない点も確かめておくと、Actと迷わずに済みます。
選択肢ごとの解説
- ×ア PPのPlanは、リスクアセスメントを行い、方針や手順を決める計画の段階です。本問では対策がすでに導入・運用されており、報告は新しく計画を立てるものではなく、運用の結果と不足を伝えるものです。
- ×イ DDのDoは、計画した対策を導入・運用する段階です。マルウェア検知システムを維持・運用していること自体はDoに当たります。しかし、その効果を確かめてリスクを指摘する調査は、運用を評価する別の活動です。
- ○ウ CCのCheckは、対策がどう実施されているか、どれだけ効果があるかを監視・測定・監査して評価する段階です。本問の調査は、受信側の対策の効果を確認し、送信側の規定がないという不備を報告しているので、Checkに当たります。
- ×エ AAのActは、評価の結果を受けて是正や改善を行う段階です。たとえば、送信に関する規定を作ったり、誤送信を防ぐ仕組みを入れたりするのがActに当たります。本問は問題を見つけて報告した段階なので、まだ改善の実施には進んでいません。
補足
報告に「リスクがある」と問題点が書かれていると、改善のActを選びたくなりがちです。ただ、改善策を実施したという記述がなければActではありません。「対策を運用している」という記述にもDoと答えたくなりますが、問われているのは運用そのものではなく、運用を調べた調査がどのプロセスに当たるかです。
POINT
- PDCAは、Plan・Do・Check・Actを繰り返して継続的に改善していく手法です。
- Planは計画（リスクアセスメント、方針や手順の策定）、Doは対策の導入・運用・教育を行う段階です。
- 監視、測定、内部監査、有効性の評価といった「調べて評価する」活動はCheckに当たります。
- 問題を見つけるのがCheck、見つけた問題を是正・改善するのがActです。