ITパスポート 2014年 秋期 問78

ISMSのPDCAサイクルと情報セキュリティ基本方針の策定【ITパスポート 解説】

正解の理由

• 方針や目標を決める → Plan（計画）
• 実際に運用する → Do（実行）
• 運用の結果を評価する → Check（評価）
• 改善策を実施する → Act（改善）

解法ステップ

1. 問題文で行っている動作を確認する：「情報セキュリティ基本方針を策定した」。
2. PDCAの日本語意味を思い出す：
   • P = Plan（計画）：方針・目標・ルールを作る
   • D = Do（実行）：作った方針に従って運用する
   • C = Check（評価）：監査や点検で結果を評価する
   • A = Act（改善）：評価に基づき改善する
3. 「策定」は「作る・決める」行為なので、Planに該当することを判断する。
4. 選択肢の中で Plan（P）に該当する選択肢を選ぶ → ア。

選択肢別の誤答解説

• ア（P）
  • 正解。方針や目標を定める「計画」フェーズに該当します。
• イ（D）
  • 誤り。DはDo（実行）で、策定した方針に基づいて具体的に運用したり、管理策を実施したりする段階です。方針を「策定する」行為自体は含みません。
• ウ（C）
  • 誤り。CはCheck（評価）で、ログ確認、監査、効果測定などで実施状況や効果を評価する段階です。方針を作る段階ではありません。
• エ（A）
  • 誤り。AはAct（改善）で、チェックで見つかった問題に対して是正措置や継続的改善を実行する段階です。方針の「初回策定」は改善ではなく計画です。

よくある誤解

1. 「方針の見直しはどちら？」
   • 方針を最初に作る行為はPlan、作った方針を評価して修正する行為はAct（またはPlanに戻して再計画）です。見直し・修正は Act（改善）や再度の Plan に当たるため、単純に「方針に関する行為＝Plan」とは限りません。
2. 「PDCAは順番通りしか使えない？」
   • 基本は Plan → Do → Check → Act の流れですが、実務では小刻みなサイクルや並行的な活動もあります。重要なのは「計画→実行→評価→改善」の考え方を回すことです。

補足コラム

• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、組織が情報資産を守るための仕組み全体を指します。PDCAはその運用方法です。
• 情報セキュリティ基本方針は経営の意志表明です。経営層が責任を持って方針を示すことで、組織全体の行動基準や優先順位が決まります。現場の具体的ルールや手順は、この方針に基づいて作られます。
• 覚え方のコツ：PDCAは「まず設計図（Plan）を作る→作る（Do）→出来を検査（Check）→手直し（Act）」。日常の仕事でも応用できます。

FAQ