令和6年度 ITパスポート試験 公開問題 問86

ISMS（情報セキュリティマネジメントシステム）の運用において、PDCAモデルは継続的な改善を行うための基本的な枠組みです。PDCAはそれぞれ以下のフェーズを表します。

• P (Plan：計画)：情報資産の洗い出し、リスクアセスメントの実施、情報セキュリティ方針や具体的な目標・対策の策定を行います。
• D (Do：実行)：計画（Plan）で策定した方針や対策、運用手順に従って、実際の業務やセキュリティ対策を導入・運用します。
• C (Check：点検・評価)：実施（Do）した結果を監視・測定し、第三者などによる内部監査やレビューを通じて、計画通りに運用されているか、有効に機能しているかを客観的に評価します。
• A (Action：処置・改善)：点検（Check）の結果に基づいて、発見された課題や不適合に対する是正処置を行い、ISMSを継続的に改善します。
  設問では「C (Check)で実施することの例」を問われているため、監査や客観的な評価を行っている活動を選択します。したがって、サーバ管理者の業務内容を第三者が客観的に評価する活動が該当します。

各選択肢の解説

• ア：業務内容の監査結果に基づいた「是正処置」として監視方法を変更する活動は、A (Action：処置・改善) に該当します。
• イ：具体的な対策と目標を決めるために情報資産を「洗い出す」活動は、P (Plan：計画) に該当します。
• ウ：正解です。業務内容を第三者が「客観的に評価」する活動は、C (Check：点検・評価) に該当します。
• エ：定められた運用手順に従ってサーバの動作を「監視（日常的な運用業務）」する活動は、D (Do：実行) に該当します。