ITパスポート 2024年 問86

PDCAモデルに基づくISMSの「C（Check）」で行うことの例【ITパスポート 解説】

正解の理由

解法ステップ

1. PDCAの各段階の意味を確認する。
   • Plan：何をどうするか計画する。
   • Do：実際に運用・実行する。
   • Check：実行結果を測定・評価・監査する。
   • Act：評価結果に基づき改善（是正処置）する。
2. 各選択肢が「計画」「実行」「評価」「改善」のどれに当てはまるかを分類する。
3. 「評価・監査」に当てはまる選択肢を選ぶ。第三者による客観評価は明確に「Check」であるため選ぶ。

選択肢別の誤答解説

• ア: 業務内容の監査結果に基づいた是正処置として、サーバの監視方法を変更する。
  → これは「是正処置（改善）」の例です。評価（Check）で問題が見つかったあとに行う改善なので、Actに該当します。よって不正解。
• イ: 具体的な対策と目標を決めるために、サーバ室内の情報資産を洗い出す。
  → 情報資産の洗い出しや対策・目標の決定は、計画を立てる作業です。Planに当たるため不正解。
• ウ: サーバ管理者の業務内容を第三者が客観的に評価する。
  → 第三者による客観評価や監査は、実行結果を点検・評価する「Check」に該当します。よって正解です。
• エ: 定められた運用手順に従ってサーバの動作を監視する。
  → 日常的に運用手順どおりに監視するのは「実行（Do）」です。監視は継続的な作業であり、評価・監査とは区別されるため不正解。

よくある誤解

1. 監視＝Checkと思う誤解
   • 日常的な監視（ログの常時監視や監視ツールの運用）はDo（実行）です。Checkは一定期間ごとに結果を評価・監査する活動を指します。
2. 是正処置（問題を直すこと）をCheckでやってしまう誤解
   • 是正処置は評価で問題が見つかった後に行うActです。Checkは原因を調べ評価する段階で、直ちに変更を実施するのはActになります。

補足コラム

• 「監査（audit）」には内部監査と外部監査があります。内部監査は組織内の人が行う点検、外部監査は第三者（認証機関など）が行うものです。問題文の「第三者が客観的に評価する」は外部監査に近いイメージです。
• ISMS運用での典型的な流れ：計画（リスク評価→対策設定）→実行（対策の導入と運用）→評価（監査・報告）→改善（是正処置・方針見直し）。このサイクルを回すことで継続的にセキュリティを高めます。
• Checkで行う具体例：監査報告書の作成、KPI（Key Performance Indicator：重要業績評価指標）やログの定期的なレビュー、脆弱性対応の進捗確認など。

FAQ