情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問10

是正処置【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 設問のキーワードを探す：「原因を除去」「再発を防止」などが入っているか確認する。
2. 用語の基本意味を思い出す：
   • 是正処置＝原因を取り除き再発を防ぐ行為（corrective action）
   • 修正＝目の前の不適合を直すだけ（correction）
   • 継続的改善＝仕組み全体を継続的に良くする活動（continual improvement）
   • リスクアセスメント＝リスクの評価（risk assessment）
3. キーワードと用語の意味を照合して最も合う選択肢を選ぶ。

選択肢別の誤答解説

• ア: 継続的改善（continual improvement：仕組みを継続して改善する活動）
  • 説明：組織全体の継続的な向上を指します。長期的で全般的な活動であり、単一の不適合の原因除去という限定的な定義とは異なります。
• イ: 修正（correction：不適合の是正）
  • 説明：不適合そのものをその場で直す行為です（例：誤った文書を訂正する）。ただし、原因を除去して再発を防ぐまでには踏み込まないため、設問の定義には合いません。
• ウ: 是正処置（corrective action）
  • 説明：不適合の根本原因を特定して取り除き、再発を防ぐ行動を指します。設問の定義に完全に一致します。
• エ: リスクアセスメント（risk assessment：潜在的リスクの特定・評価）
  • 説明：リスクの分析・評価を行うプロセスであり、発生した不適合の原因除去や再発防止そのものを指すものではありません。

よくある誤解

1. 「修正」と「是正処置」を同じ意味だと考える誤り
   • 修正は症状を直す処置（短期的）で、是正処置は原因をつぶして再発を防ぐ（中長期的）という違いがあります。
2. 継続的改善を選んでしまう
   • 継続的改善は組織全体の改善活動で、個々の不適合に対する「原因除去＋再発防止」を指すわけではありません。
3. 「再発防止＝単純なルール追加」と考える誤り
   • 単にルールを増やすだけでは根本原因が残ることがあり、効果検証が重要です。

補足コラム

1. 発見：不適合が発生したら報告する。
2. 応急対応（修正）：被害の拡大を防ぐ短期措置を取る（例：問題のあるファイルのアクセス停止）。
3. 原因調査：根本原因分析（Root Cause Analysis：RCA）を行う。
4. 是正処置の実施：原因を取り除く恒久対策を実施する（例：アクセス権の設計変更、手順の見直し、教育）。
5. 効果確認：再発が起きないか一定期間観察・検証する。
6. 文書化：対応経緯と効果を記録して、将来に備える。

FAQ