ITパスポート 2015年 春期 問75

ISMSの運用で監査結果を受けて是正処置・予防処置を行うプロセスはPDCAのどれか【ITパスポート 解説】

正解の理由

• Plan（計画）: 何をどうするか決める
• Do（実行）: 決めたことを実行する
• Check（点検・評価）: 実行した結果を確認・評価する（監査はここに該当します）
• Act（改善）: 評価の結果を受けて改善する（是正処置・予防処置を行う）

解法ステップ

1. PDCAの各フェーズの役割を思い出す（Plan, Do, Check, Act）。
2. 問題文のキーワードを確認する：監査結果をインプット、是正処置・予防処置、継続的に改善。
3. 「監査結果を受けて改善する」と言われているので、改善フェーズであるActを選ぶ。
4. 選択肢と照らし合わせてエを選択。

選択肢別の誤答解説

• ア: P（Plan）
  • 誤り。Planは方針や目標、手順を最初に作る段階です。監査結果を受けて「是正・予防」を実行する役割ではありません。
• イ: D（Do）
  • 誤り。Doは計画を実行する段階で、通常は既に決めた対策や運用を行うフェーズです。監査で出た改善事項を反映して行うのはDoの前に行う「改善決定」の部分なので、本問の趣旨とは合いません。
• ウ: C（Check）
  • 誤り。Checkは監査や評価を行う段階で、問題点を発見するフェーズです。監査結果を「インプット」として受け、実際に是正・予防処置を行うのはその次のActです。
• エ: A（Act）
  • 正解。監査（Check）の結果を受け、是正処置・予防処置を実行してISMSを改善するフェーズはActに当たります。だからエが妥当です。

よくある誤解

1. 「監査＝Act」と混同する
   • 監査自体は評価（Check）です。監査で問題を見つけることと、その後に改善することは別のフェーズです。
2. 「予防処置はPlanの仕事だ」と思う
   • 予防処置は将来の問題を防ぐ活動ですが、監査で見つかったリスクを踏まえて新たに予防策を実施するのはActで行います。なお、計画段階で既にリスク低減策を立てることもあります（両者は連携します）。

補足コラム

• ISO/IEC 27001（情報セキュリティの国際規格）でもPDCAは重要な考え方です。監査で見つかった不適合（非適合）には「是正処置（corrective action）」を取り、再発防止を図ります。一方で近年の規格はリスクベースの考え方を強めており、「予防処置（preventive action）」は計画段階でのリスク対応と連続的に扱われることが多くなっています。それでも「監査結果を受けて具体的な改善を行う」点ではActが中心になります。
• 身近な例：会社のファイル管理で監査が「パスワード共有が多い」と指摘したら、監査はCheck。その後、共有ルールを改定したり二要素認証を導入したりするのがActです。

FAQ