ITパスポート 平成29年度 春期 特別措置試験 問75

✓ これが正解イ 内部監査

解説

決めたとおりに動けているかを、組織が自分で確かめます。

ISMSは、PDCAと呼ばれる四つの段を回して育てていきます。計画の段では、どんな危険があるかを測り、何を守るのかを決めます。運用の段では、決めたことを実際に動かします。パフォーマンス評価の段では、決めたとおりに動けているかを確かめ、結果を測ります。改善の段では、確かめて見つかったずれを直します。内部監査は、組織が自分で自分の運用を点検する行いなので、三つ目の段に入ります。測る段なのか、決める段なのか、直す段なのかで分けると、迷いません。名前の似た作業が四つの段に散っている点に注意します。四つの段の頭文字を取ってPDCAと呼びます。計画、実行、確認、改善の順で、回し終えたらまた計画へ戻ります。一周ごとに前より良くなっていくことを狙った進め方です。監査は、確認の段を代表する行いにあたります。

ほかの選択肢の解説

• ア 情報セキュリティリスクアセスメント：どんな危険がどれだけあるかを洗い出して測る作業です。何を守るかを決めるための材料になるので、最初の計画の段に置かれます。危険の大きさを数にして並べるところまでが、この作業の範囲です。確かめる段より前に置かれます。
• ウ 不適合の是正処置：見つかったずれを直し、同じことが起きないように手を打つ作業です。確かめた後に続く段なので、四つ目の改善に入ります。確かめて初めて分かるものなので、順番としては後ろになります。直す行いは改善の段が受け持ちます。
• エ リスクの決定：どこまでの危険を受け入れ、どれに手を打つのかを決める作業です。方針を固める行いなので、これも最初の計画の段になります。どこまで受け入れるかの線引きは、動き出す前に決めておく必要があります。確かめる段の作業ではありません。