ITパスポート 2017年 春期 問75

ISMSの“計画”、“運用”、“パフォーマンス評価”及び“改善”において、“パフォーマンス評価”で実施するものはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. ISMSのPDCA（Plan：計画、Do：運用、Check：評価、Act：改善）を確認する。
2. 各選択肢がどのフェーズの活動かを考える：
   • 計画（Plan）：リスクの分析・決定、対策の設計など
   • 運用（Do）：運用ルールの実施、教育など
   • 評価（Check）：内部監査、モニタリング、測定、管理レビューなど
   • 改善（Act）：不適合の是正処置、継続的改善など
3. 各選択肢を当てはめると、内部監査が「評価」に該当するため正解と判断する。

選択肢別の誤答解説

• ア: 情報セキュリティリスクアセスメント
  「リスクアセスメント」はリスクを特定・評価する活動です。これは対策を決めるための「計画（Plan）」フェーズに該当します。従ってパフォーマンス評価ではありません。
• イ: 内部監査
  内部監査は、ISMSや規程が適切に運用されているかをチェックする活動です。監査結果は評価レポートとして出され、改善の根拠になります。よってパフォーマンス評価で行うものです。
• ウ: 不適合の是正処置
  「不適合の是正処置」は問題が見つかった後に原因を取り除き再発を防ぐための対応です。これは「改善（Act）」フェーズの活動です。
• エ: リスクの決定
  「リスクの決定（リスク受容や対応方針の決定）」は、どのリスクに対してどの対策を採るかを決める段階であり、計画（Plan）に属します。評価フェーズではありません。

よくある誤解

• 誤解1：内部監査は「問題を見つけるだけ」で改善とは無関係
  → 内部監査は問題の発見だけでなく、改善のための証拠（監査報告）を提供し、改善活動につなげる重要な評価プロセスです。
• 誤解2：リスクアセスメントと内部監査は同じ評価活動である
  → リスクアセスメントは将来起こりうる脅威を見つけて対策を計画する行為（Plan）で、内部監査は既に実施されている運用の適合性や有効性を検証する評価（Check）です。

補足コラム

• 内部監査のポイント
  • 監査は第三者的視点で行うことが望ましいため、監査担当者は独立性が求められます（社内の別部署や外部の支援を使うこともある）。
  • 監査結果は「適合」「不適合」「改善の機会」などでまとめられ、経営層の判断や是正処置の材料になります。
• 関連規格
  • ISMS構築では ISO/IEC 27001（情報セキュリティ管理の国際規格）が基準になることが多く、同規格でも内部監査は「Check」に位置づけられています。

FAQ