ITパスポート 2021年 問77

PDCAモデルでの是正・改善措置の実施プロセス【ITパスポート 解説】

正解の理由

• PDCA（Plan-Do-Check-Act：計画→実行→確認→改善）
• ISMS（Information Security Management System：組織の情報資産を守る仕組み）
• リスクマネジメント（リスクの特定・評価・対応を行う活動）

解法ステップ

1. 問題文のキーワードを確認：監視の結果を受けて「是正や改善措置を決定している」。
2. PDCAの各プロセスの役割を思い出す。
   • Plan：目標設定や方針・計画作成
   • Do：計画を実行する
   • Check：実行結果を評価・監視する
   • Act：評価結果を元に改善や是正措置を決定・反映する
3. 「決定している（改善アクションを取る）」はActに該当するので、エ を選ぶ。

選択肢別の誤答解説

• ア: P（Plan）
  • 誤り。Planは方針やリスク対応策の計画を立てる段階です。監視結果を受けて「決定する」のはPlanの前段ではありません。
• イ: D（Do）
  • 誤り。Doは計画を実行するフェーズです。監視結果を受けて「是正や改善を決める」作業自体はDoではなく、その後の改善活動につながる決定です。
• ウ: C（Check）
  • 誤り。Checkは監視・評価を行う段階で、問題を発見したり効果を測ったりしますが、「是正や改善措置を決定する」という意思決定は基本的にCheckの次、Actで行います。Checkは判断材料を提供する役割です。
• エ: A（Act）
  • 正しい。監視（Check）の結果を受け、是正・改善措置を決定して実行に反映するのがAct（改善）の役割です。したがってこの選択肢が適切です。

よくある誤解

1. 「監視＝是正を決める」と混同する
   • 監視（Check）は問題を見つける活動で、是正措置の"決定"自体はActに移ります。監視は材料作り、是正は判断・行動です。
2. 「Doで改善も行う」と考える
   • Doは計画どおりに実行する段階です。改善は既存の計画・実行結果を見て行うのでActに分類されます。実行中に小さな調整をする場合でも、基本はActの考え方で扱います。
3. 「是正＝単なる修理や手直し」だけと理解する
   • 是正措置には原因の分析と再発防止が含まれます。単なる一時的な対応（応急処置）は不十分で、根本改善はActで決めて次のPlanへ反映します。

補足コラム

• ISO/IEC 27001（情報セキュリティマネジメントの国際標準）でもPDCAが重要です。規格では、監視や内部監査で得られた結果を基に是正処置や改善を行い、マネジメントレビューで方針変更や資源配分を決めます。
• 実務的な例：
  • 監視結果：外部スキャンで脆弱性が増加していると判明（Check）
  • Actでの判断：優先順位を付けてパッチ適用を計画し、運用手順の見直しをDecision（Act）する
  • 次のPlanでは、より短いパッチ適用サイクルを設定してサイクルを回します
• 「是正措置」と「予防措置」の違い：是正は起きた問題の根本原因を取り除くこと、予防は問題が起きないようにすることです。どちらもActの検討対象になります。

FAQ