情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問05

是正処置【情報セキュリティマネジメント解説】

正解の理由

• 「修正（correction）」は目の前の不適合を直すこと（症状を治す）で、
• 「是正処置」はその原因を探して根本的に対策を講じ、同じ問題が繰り返さないようにすることです。 この違いが正解選択の決め手です。

解法ステップ

1. 設問文のキーワードを探す：「原因を除去」「再発を防止」などの語句を見つける。
2. 各用語の定義を思い出す（または選択肢ごとに当てはめる）：
   • 「修正」＝直すだけか、原因除去まで含むか？
   • 「継続的改善」＝全体を継続的に良くする活動か？
   • 「リスクアセスメント」＝危険や脅威を評価する活動か？
3. 「原因除去・再発防止」に直接対応する語は「是正処置」なので選ぶ。

選択肢別の誤答解説

• ア：継続的改善
  • 意味：システムやプロセスを継続的に向上させる活動（英語：continual/continuous improvement）。PDCA（計画・実行・点検・改善）の「改善」に相当します。
  • なぜ誤りか：継続的改善は長期的・包括的な改善活動であり、特定の不適合の「原因を取り除く」ことを直接的に指す定義ではありません。
  • 例：情報セキュリティ教育の定期的な見直しや監査で段階的に改善すること。
• イ：修正
  • 意味：発生した不適合を是正するためにその場で行う処置（英語：correction）。問題の症状を取り除く行為。
  • なぜ誤りか：修正は例えば誤った設定を元に戻す、漏洩したデータを回収するなど「起きた問題を直す」行為であって、必ずしも原因を突き止めて再発防止策を講じるものではありません。
  • 例：誤送信したメールを回収する、誤設定のサービスを停止する。
• ウ：是正処置（正解）
  • 意味：不適合の原因を除去し、再発を防止するための措置（英語：corrective action）。
  • 具体例：ファイル共有の設定ミスで情報漏洩が起きた場合に、単にアクセス権を戻す（修正）だけでなく、なぜ設定ミスが起きたかを調査して手順を改訂し担当者に教育を行い、設定変更の承認フローを導入する、など。
• エ：リスクアセスメント
  • 意味：リスクの特定・評価・分析を行う活動（英語：risk assessment）。
  • なぜ誤りか：リスクアセスメントは潜在的な危険や脅威を評価するプロセスであり、発生した不適合の「原因を除去して再発を防ぐ」という定義とは別物です。
  • 例：業務で扱う情報の重要度を評価し、どの資産にどれだけの対策が必要かを決める行為。

よくある誤解

• 「修正」と「是正処置」を同じ意味に考えてしまう。
  • 修正は症状の除去、是正処置は原因の除去と再発防止。試験ではこの違いが頻出ポイントです。
• 「継続的改善＝是正処置」と混同する。
  • 継続的改善は長期的な向上活動。是正処置は特定の不適合に対応する行動。
• リスク関連の語が出ると「それも再発防止に関係する」と考えがちだが、リスクアセスメント自体は評価であって処置ではない。

補足コラム

1. 不適合の発見（例：外部に機密データが公開されている）
2. 修正（症状の即時対応：公開を停止、アクセスを遮断）
3. 根本原因分析（例：なぜ設定ミスが起きたかを 5 Whys や特性要因図で分析）
4. 是正処置の立案と実施（原因を取り除く手順変更、教育、権限管理の導入）
5. 効果の確認（同じ問題が再発していないか検証）
6. 記録と再発防止策の定着化（手順書更新、監査項目への追加）

• 5 Whys（なぜを5回繰り返して原因を深掘りする）
• 特性要因図（Ishikawa・魚骨図で要因を整理する）

FAQ