ITパスポート 2022年 問58

ISMSの計画、運用、パフォーマンス評価及び改善において、パフォーマンス評価で実施するものはどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワード「パフォーマンス評価」を見つける。これはPDCAの「Check（評価）」に対応することを思い出す。
2. 各選択肢がPDCAのどの段階に当たるかを当てはめる。
3. 「Check（評価）」に該当する活動を選ぶ。内部監査は評価活動なので正解となる。

選択肢別の誤答解説

• ア: 運用の計画及び管理
  • 説明：これは「Plan（計画）」や「Do（実行）」の領域に入る活動です。計画を立て、日々の運用を管理する行為であり、パフォーマンス評価には該当しません。
• イ: 内部監査
  • 説明：内部監査は組織内部で実施する監査で、運用の適合性や有効性を評価します。評価フェーズに属するため、パフォーマンス評価で実施する活動です。
• ウ: 不適合の是正処置（是正処置：corrective action）
  • 説明：不適合が見つかった後に原因を取り除き再発を防ぐための対策で、PDCAの「Act（改善）」に該当します。評価の結果を受けて行う処置なので、評価そのものではありません。
• エ: リスクの決定（リスクの決定＝リスク評価やリスクアセスメント）
  • 説明：リスクの特定や評価は主に「Plan（計画）」段階で実施します。リスクの決定は事前の設計・方針決定に関わるため、パフォーマンス評価ではありません。

よくある誤解

• 「監査＝改善だ」と考える誤解
  • 内部監査は問題を見つける評価行為です。見つかった問題に対する対応（是正処置）は別の段階（改善）です。
• 「リスクを決めるのは評価段階」と思う誤解
  • リスクの特定や評価は計画段階で行うことが基本です。評価段階では、リスク対応が計画どおり機能しているかを確認します。
• 「運用の計画＝運用（Do）」と混同する誤解
  • 「運用の計画」はPlanの範囲で、実際の運用（Do）は計画に沿って実行することです。問題文の言葉の違いに注意してください。

補足コラム

• PDCAの対応例（ISMSでのイメージ）
  • Plan（計画）：リスク評価、セキュリティ方針の策定、対策の計画
  • Do（実行）：対策の導入・運用、教育・訓練
  • Check（評価）：ログ監視、測定、内部監査、マネジメントレビュー
  • Act（改善）：是正処置、継続的改善の実施
• 覚え方のコツ：PDCAの「Check」を見たら「監査・計測」を思い出すと解きやすいです。

FAQ