ITパスポート 2011年 春期 問84

ISMSのPDCAでDの段階で行うもの【ITパスポート 解説】

正解の理由

解法ステップ

1. PDCAの各段階を簡単に確認する。
   • Plan（計画）：目的・方針・リスク評価・対策の決定など。
   • Do（実行）：決めた対策の実施、運用、教育・訓練。
   • Check（評価）：監査やモニタリングで効果を確認。
   • Act（改善）：評価結果に基づいて改善策を決める。
2. 各選択肢を上の分類に当てはめる。
3. 「実行」に該当する活動を選ぶ。教育・訓練は現場で実施する活動なのでDo段階となり、正解は ウ。

選択肢別の誤答解説

• ア: ISMSの運用に対する監査を定期的に行う。
  • 監査は「運用が適切か」を点検する活動です。PDCAのCheck（評価）段階に当たります。したがってDではありません。
• イ: ISMSの基本方針を定義する。
  • 方針の定義は組織として何を守るかを決める行為です。PDCAのPlan（計画）段階に該当します。
• ウ: 従業者に対して、ISMS運用に関する教育と訓練を実施する。
  • 教育・訓練は「決めたことを実際に運用できるようにする」行為で、Do（実行）に該当します（正解）。
• エ: リスクを評価して、対策が必要なリスクとその管理策を決める。
  • リスクを評価する「リスクアセスメント（risk assessment：リスクの大きさや優先度を判断すること）」と、対策を決める作業はPlan段階です。実行ではありません。

よくある誤解

1. 「監査も実行の一つ」と考える誤解
   • 監査は実施そのものをチェックする活動です。実際の作業（例：パスワード変更や教育）はDo、監査はCheckです。
2. 「リスク対応＝Do段階」と思う誤解
   • リスク対応には「評価して決める（Plan）」と「決めた対応を実施する（Do）」の2段階があります。選択肢がどちらを指すかで判断します。本問のエは決定までを問っておりPlanです。
3. 教育と訓練を「ただ説明するだけ」と誤解すること
   • ISMSでの教育・訓練は、ルールの理解だけでなく、具体的な手順を実行できる能力を育てることが目的です。実務に落とし込む活動です。

補足コラム

• ISO/IEC 27001（情報セキュリティマネジメントの国際規格）でもPDCAは基本です。実務としては、Planで「何を守るか」を決め、Doで「守るための運用」を行い、Checkで監査やログ確認をして、Actで改善計画を立てます。
• 教育・訓練の具体例：パスワードの作り方、フィッシングメールの見分け方、情報の取り扱いルールの実演など。これらは現場での「実行能力」を高めるため、Doに該当します。
• 覚え方（簡単な語呂）：Plan＝決める、Do＝やる、Check＝確かめる、Act＝直す。

FAQ