ITパスポート 2023年問79

問題文

PDCAモデルに基づいてISMSを運用している組織の活動において、次のような調査報告があった。この調査はPDCAモデルのどのプロセスで実施されるか。

社外からの電子メールの受信に対しては、情報セキュリティポリシーに従ってマルウェア検知システムを導入し、維持運用されており、日々数十件のマルウエア付き電子メールの受信を検知し、破棄するという効果を上げている。しかし、社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく、社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。

🖊️ 解答を隠して解いてみる

選択肢

ア：P

イ：D

ウ：C（正解）

エ：A

🔒 解説は解答すると表示されます

PDCAモデルのどのプロセスで実施されるか（メールセキュリティの調査）【ITパスポート解説】

正解の理由

この調査は、実施済みの対策（受信メールのマルウェア検知）が期待どおりに機能しているかを確認し、さらに社外への送信に関する規定や運用手順の不備という「現状の問題点」を明らかにしています。PDCA（Plan：計画、Do：実行、Check：評価・検証、Act：改善）のうち、運用の効果を測定・評価して問題点を報告する活動は「Check（評価）」に該当します。したがって選択肢ウが正解です。

（補足）PDCAの各要素：

Plan（計画）：何をどう守るか方針や手順を決める段階
Do（実行）：決めた対策を導入・運用する段階
Check（評価）：運用結果を監視・測定して問題を見つける段階
Act（改善）：評価結果を受けて対策を改善・更新する段階

今回の調査は「何が起きているか（運用の状況とリスク）を確認する」ための活動であり、Checkに当たります。

解法ステップ

問題文で行われている活動を短くまとめる：運用状況の調査とリスクの指摘（受信は効果あり、送信は規定・手順がないためリスクありと報告）。
PDCAの各プロセスをひとことで整理する（Plan = 計画、Do = 導入・運用、Check = 評価・監視、Act = 改善）。
「運用の効果を測る・問題を報告する」＝Checkに該当する、という対応を当てはめる。
選択肢の中からCheckに対応するものを選ぶ（該当はウ）。

選択肢別の誤答解説

ア：P（Plan：計画）
誤り。Planはポリシーや手順を策定する段階です。問題文では既に受信側のポリシーに基づく対策が導入されており、「不足している点を報告」しているため、計画を立てている段階ではありません。
イ：D（Do：実行）
誤り。Doは対策を導入・運用する行為です。マルウェア検知システムの運用自体はDoに該当しますが、問題文で述べられている「調査報告」や「リスクの指摘」は運用結果の評価側の活動であり、Doではありません。
ウ：C（Check：評価・検証）
正しい。運用状況（受信側の対策の効果）を確認し、送信側の規定欠如というリスクを明らかにしている活動は評価・検証に当たるため、Checkが適切です。
エ：A（Act：改善）
誤り。Actは評価結果を踏まえて方針や運用を改善する段階です。本問の活動は「改善案を実行する」段階ではなく、まず問題を見つけて報告している段階です。

よくある誤解

「問題の修正（改善）まで行っているならAct」と考えるミス
- 調査や報告だけであれば評価（Check）です。改善（Act）は、報告を受けて実際にルールを作る、ツールを導入する、教育を行うなどの行動を取った後になります。
「ログや検知はDo（実行）では？」という混乱
- システムの稼働はDoですが、ログを集めて分析して問題点を洗い出す行為はCheckです。両者を混同しないようにしましょう。

補足コラム

ISMS（Information Security Management System：情報セキュリティ管理の仕組み）では、PDCAを回して継続的に改善します。今回のように「受信メールは対策済みだが、送信メールに規定が無い」という評価が出たら、次の流れは一般的にこうなります。

Check（評価）で問題を報告する（今回の段階）。
Act（改善）でポリシーや運用手順を作成・変更する（例：社外秘の取り扱いルール、添付ファイルのチェック、送信前確認のワークフロー）。
Do（実行）でDLP（Data Loss Prevention：データ流出防止）や誤送信防止ツールの導入、社員教育を行う。
再びCheckで効果を検証し、必要ならPlanで方針を見直します。

具体的な対策例：DLP（Data Loss Prevention：データ流出防止）導入、送信時の添付ファイル自動検査、メール送信の二段階確認設定、暗号化やパスワード付きZipの運用、社員向けの取り扱いルールと研修。

FAQ

Q1: 調査報告＝常にCheckですか？
A1: はい。調査して現状を評価・報告する活動はPDCAのCheckに該当します。ただし、調査の結果すぐに改善作業を始め、それが主要な活動ならActの説明も含む場合があります。

Q2: 内部監査や外部監査はどのプロセスですか？
A2: 監査は評価活動なのでCheckに入ります。監査で見つかった不備はActで改善します。

Q3: リスク評価（Risk assessment）はPlanかCheckか？
A3: リスク評価は文脈によりますが、計画段階で行う評価（Plan）と、運用後に新たなリスクを検出する評価（Check）の両方があります。今回のように運用中の欠陥を見つける評価はCheckです。

関連キーワード: PDCA、ISMS運用、マルウェア検知、メールセキュリティ、DLP、内部監査、監視・ログ分析、ISO27001

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

ITパスポートを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！