ITパスポート 平成23年度 特別 問84

✓ これが正解ウ 従業者に対して，ISMS 運用に関する教育と訓練を実施する。

解説

D は Do（実行）で、従業者への教育と訓練がこれに当たります。

ISMS（情報セキュリティマネジメントシステム）は、Plan・Do・Check・Act の PDCA サイクルを繰り返して育てます。Plan（計画）の段階では、基本方針を定め、リスクを評価して、対策が必要なリスクと管理策を決めます。Do（実行）の段階では、Plan で決めたことを実際に運用します。従業者に ISMS の運用について教育と訓練を行う作業は、この Do に当たります。決めた管理策は、人が実際に動かして初めて効果が出るからです。したがって、教育と訓練の実施を挙げた肢が正解です。定期的な監査は、決めたとおりに運用されているかを確かめる Check（点検・評価）の作業です。基本方針の定義も、リスク評価と管理策の決定も、Plan の作業です。PDCA のどの段階に置かれる作業かで、答えが決まります。シラバスも、ISMS を情報セキュリティ管理の項目に挙げています。

ほかの選択肢の解説

• ア ISMS の運用に対する監査を定期的に行う。：ISMS の運用に対する監査を挙げた肢です。監査は、決めたとおりに動いているかを点検し評価する作業なので、Check の段階に置かれます。Do で動かした結果を見る段階で、Do より一つ後ろに当たります。
• イ ISMS の基本方針を定義する。：ISMS の基本方針を定義する肢です。何を大切にし、どう取り組むかという、すべての土台を決める作業です。これは Plan の段階に当たり、運用する Do より前に済ませます。順が一つ手前です。
• エ リスクを評価して，対策が必要なリスクとその管理策を決める。：リスクを評価し、対策が必要なリスクとその管理策を決める肢です。どこにどれだけの恐れがあるかを見きわめ、打つ手を選ぶ作業です。これも計画を組み立てる Plan の段階で、運用に入る前に済ませておきます。