ISMSのPDCAサイクルで「Check」に当たる活動はどれか
ITパスポート試験 令和6年度 問86 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
PDCAモデルに基づいてISMSを運用している組織において，C(Check)で実施することの例として，適切なものはどれか。
- ア
業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。
- イ
具体的な対策と目標を決めるために，サーバ室内の情報資産を洗い出す。
- ウ
サーバ管理者の業務内容を第三者が客観的に評価する。
- エ
定められた運用手順に従ってサーバの動作を監視する。
会話形式の解説
講師今回はISMS、つまり組織の情報セキュリティを管理する仕組みを、PDCAで回すときの問題です。4つの選択肢がそれぞれPlan・Do・Check・Actのどこに入るかを仕分けると、すっきり解けます。
受験者Checkは「確認」なので、サーバの動作を監視する選択肢かなと思いました。監視も確認の一種に見えるので。
講師そこがこの問題でいちばん迷いやすいところです。その監視は「定められた運用手順に従って」行うものですよね。決まった手順を毎日こなしている作業なので、段階としてはDo（実行）になります。
受験者手順どおりに動かすこと自体が実行なのですね。では、Checkは何をする段階なのですか。
講師運用が計画どおりにできているか、目標を達成できているかを振り返って評価する段階です。代表的なのは監査やレビューです。サーバ管理者の業務を第三者が客観的に評価する選択肢は、まさに監査に当たります。外部の目で、運用が計画に沿っているかを点検しているわけです。
受験者でも、「監査結果」という言葉が入っている選択肢もありました。そちらもCheckではないのですか。
講師その選択肢をよく読むと、監査の結果を受けて是正処置として監視方法を変えています。行っているのは評価ではなく、見つかった問題を直すことです。なのでAct（改善）になります。
受験者言葉は似ていても、評価するのか、評価を受けて直すのかで段階が違うのですね。残りの、サーバ室の情報資産を洗い出す選択肢はPlanですか。
講師そのとおりです。守るべき資産を洗い出して、具体的な対策と目標を決めるのはPlan（計画）の作業です。リスクアセスメントにも関わる、計画づくりの部分ですね。
受験者整理すると、資産の洗い出しがPlan、手順どおりの監視がDo、第三者による評価がCheck、監査結果を受けた是正がActということですね。
講師はい、正解は第三者が客観的に評価する選択肢です。この種の問題では「監視」「監査」といった単語だけで決めずに、その行為が計画づくりなのか、実行なのか、評価そのものなのか、評価を受けた手直しなのかを見てください。ISMSはこのサイクルを繰り返して、情報セキュリティを継続的に改善していく仕組みだという点もあわせて覚えておくとよいです。
まとめ
ISMSはPDCAサイクルを繰り返して情報セキュリティを継続的に改善する仕組みです。情報資産の洗い出しや対策・目標の決定はPlan、決めた手順に沿ったサーバ監視などの日常運用はDoに当たります。Checkは運用が計画どおりかを点検・評価する段階で、第三者による客観的な評価（監査）が該当します。監査結果を受けた是正処置はActであり、「監視」「監査」という語ではなく行為の中身で段階を判断することが大切です。
解答・解説
正解はウです
この問題のテーマ
情報セキュリティマネジメントシステム（ISMS）をPDCAモデルで運用するとき、C（Check）の段階でどんな活動をするのかを見分ける問題です。
解き方の考え方
まず、Plan（計画）、Do（実行）、Check（点検・評価）、Act（改善）がそれぞれ何をする段階かを整理します。次に、各選択肢の活動が「計画を立てる」「決めたとおりに実行する」「実施状況を評価する」「評価をもとに直す」のどれに当たるかを判断します。特に「監視」と「監査・評価」、「評価」と「是正」の区別がポイントです。評価そのものを行っている選択肢がCheckです。
選択肢ごとの解説
- ×ア 業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。監査結果に基づく是正処置としてサーバの監視方法を変える活動は、Act（改善）に当たります。Checkで見つかった問題を受けて改善する行為なので、評価の段階より後になります。「監査結果」という語があっても、行っているのは是正なので注意が必要です。
- ×イ 具体的な対策と目標を決めるために，サーバ室内の情報資産を洗い出す。サーバ室の情報資産を洗い出して、具体的な対策と目標を決める活動は、Plan（計画）に当たります。資産の洗い出しはリスクアセスメントの出発点で、何を守り、どう対策するかを決める計画段階の作業です。
- ○ウ サーバ管理者の業務内容を第三者が客観的に評価する。サーバ管理者の業務内容を第三者が客観的に評価するのは、監査・評価に当たる活動なので、Check（点検・評価）です。運用が計画どおりに適切に行われているかを確かめる活動で、Checkの役割にそのまま当てはまります。
- ×エ 定められた運用手順に従ってサーバの動作を監視する。定められた運用手順に従ってサーバの動作を監視するのは、計画で決めた手順を日々実行する作業なので、Do（実行）に当たります。「監視」という語からCheckと考えがちですが、ここでの監視は日常の運用作業です。運用状況を評価したり監査したりする活動とは区別されます。
補足
選択肢に出てくる語句だけで段階を判断すると間違えやすい問題です。アは「監査結果」という語を含みますがActで、エは「監視」という語を含みますがDoです。その活動が「評価すること自体」なのか、「評価を受けて直すこと」なのか、「手順どおりに実行すること」なのかという、行為の中身で判断しましょう。
POINT
- ISMSでは、Plan・Do・Check・Actのサイクルを繰り返して、情報セキュリティを継続的に改善します。
- 情報資産の洗い出しや対策・目標の決定はPlan、決めた手順に沿った運用はDoに当たります。
- Checkは、実施内容が計画どおりで目標を満たしているかを点検・評価する段階で、監査やレビューを行います。
- 監査などの評価はCheck、その結果を受けた是正処置はActと区別します。