是正処置と修正はどう違う？不適合対応の用語を整理
情報セキュリティマネジメント試験 令和元年度秋期 午前 問5 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 27000:2019(情報セキュリティマネジメントシステム－用語)において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。
- ア
継続的改善
- イ
修正
- ウ
是正処置
- エ
リスクアセスメント
会話形式の解説
講師今回は、JIS Q 27000:2019の用語から正しいものを選ぶ問題です。不適合、つまり決められた要求事項を満たしていない状態が起きたときに、原因を取り除いて再発を防ぐ処置はどれかが問われています。問題文の「原因を除去する」と「再発を防止する」の2点に注目してください。
受験者不適合への対応なら、修正と是正処置のどちらかだと思います。ただ、どちらも「直す」という意味に見えて、私はいつも区別があいまいになります。
講師そこがこの問題の中心です。修正は「検出された不適合を除去するための処置」と定義されています。たとえば誤った設定を見つけて元に戻すように、起きた不適合そのものを直す処置です。
受験者設定を元に戻しただけだと、同じ手順で作業すればまた同じ誤りが起きるかもしれません。そうすると、修正は原因まで取り除いていないということですか。
講師そのとおりです。原因の除去や再発防止までは含みません。それに対して是正処置は「不適合の原因を除去し、再発を防止するための処置」と定義されていて、問題文と一致します。誤設定が起きた手順そのものを見直す対応が是正処置に当たります。
受験者継続的改善も、問題を繰り返さないようにする活動に聞こえます。こちらは当てはまらないのでしょうか。
講師継続的改善は「パフォーマンスを向上させるために繰り返し行う活動」と定義されています。特定の不適合の原因を取り除く処置を指す用語ではないので、今回の定義とは合いません。
受験者リスクアセスメントは、リスクを洗い出して評価する活動でしたね。まだ起きていないことを対象にしているので、起きた不適合への処置とは違うと考えました。
講師よく整理できています。リスクアセスメントは、リスクの特定、分析、評価からなるプロセス全体を指します。すでに起きた不適合の原因を取り除く処置ではありません。
受験者まとめると、その場で直すのが修正、原因を断って繰り返さないようにするのが是正処置、ということですね。
講師その覚え方で区別できます。補足すると、似た言葉に予防処置があります。まだ起きていない問題を防ぐ措置を指す言葉ですが、以前の規格で使われていた用語で、現行の規格体系ではリスクへの取組みに含めて扱われています。是正処置は、すでに起きた問題の再発を防ぐ点が違うと押さえておいてください。
まとめ
JIS Q 27000:2019で、不適合の原因を除去して再発を防止するための処置と定義されているのは是正処置です。修正は検出された不適合そのものを除去する処置で、原因の除去までは含みません。継続的改善はパフォーマンスを向上させるために繰り返し行う活動で、リスクアセスメントはリスクの特定・分析・評価からなるプロセス全体を指します。「その場で直す」のが修正、「原因を断って繰り返さない」のが是正処置と覚えると区別しやすくなります。
解答・解説
正解はウです
この問題のテーマ
不適合（決められた要求事項を満たしていない状態）が起きたとき、原因を取り除いて再発を防ぐ処置を、JIS Q 27000:2019の用語から選ぶ問題です。修正と是正処置の違いが決め手になります。
解き方の考え方
最初に、問題文の「原因を除去する」と「再発を防止する」の2点を確かめます。次に、不適合への対応を表す修正と是正処置を比べます。目の前の不適合を直すだけなら修正、原因まで取り除くなら是正処置です。継続的改善とリスクアセスメントは、不適合が起きた後の処置を表す用語ではないので外せます。したがって、ウが正解です。
選択肢ごとの解説
- ×ア 継続的改善継続的改善は、パフォーマンスを向上させるために繰り返し行う活動です。マネジメントシステム全体を良くしていく活動であり、特定の不適合の原因を取り除く処置ではありません。したがって誤りです。
- ×イ 修正修正は、検出された不適合を除去するための処置です。たとえば誤った設定を元に戻すように、起きた不適合そのものを直します。一方、原因の除去や再発防止までは含みません。したがって、問題文の定義に当てはまらず誤りです。
- ○ウ 是正処置是正処置は、不適合の原因を除去し、再発を防止するための処置です。たとえば誤設定を戻すだけで終わらせず、誤設定が起きた手順そのものを見直す対応が当たります。問題文の説明と一致するので正しいです。
- ×エ リスクアセスメントリスクアセスメントは、リスクの特定、分析、評価からなるプロセス全体です。リスクを洗い出して評価する活動であり、すでに起きた不適合の原因を取り除く処置ではありません。したがって誤りです。
補足
修正と是正処置は取り違えやすい用語です。「その場で直す」のが修正、「原因を断って繰り返さない」のが是正処置と覚えると区別しやすくなります。また、似た言葉の予防処置は、まだ起きていない問題を防ぐ措置です。是正処置は、すでに起きた問題の再発を防ぐ点で異なります。
POINT
- 是正処置は、不適合の原因を除去して再発を防止するための処置です。
- 修正は、検出された不適合そのものを除去する処置で、原因の除去までは含みません。
- 継続的改善は、パフォーマンスを向上させるために繰り返し行う活動です。
- リスクアセスメントは、リスクの特定・分析・評価をまとめたプロセス全体を指します。