令和5年度 ITパスポート試験 問79
テクノロジ／セキュリティPDCA モデルに基づいて ISMS を運用している組織の活動において，次のような調査報告があった。この調査は PDCA モデルのどのプロセスで実施されるか。 社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
出典：令和5年度 ITパスポート試験 問79
- アP
- イD
- ウC
- エA
正解：ウ
解説
調査報告の内容は，実施済みの対策（受信メールのマルウェア検知）の効果を確認する一方で，対策が不足している点（送信メールの規定や手順がないこと）を洗い出しています。これは，運用した結果を点検・評価して問題点を見つける「Check（C）」のプロセスで行われる調査です。「Plan」は方針や計画の策定，「Do」は計画に基づく導入・運用，「Act」は点検結果に基づく改善の実施です。
選択肢ごとの解説
- ア誤り。Plan は，情報セキュリティの方針や対策の計画を立てる段階で，運用結果の調査は行いません。
- イ誤り。Do は，計画した対策を導入し運用する段階です。
- ウ正しい。運用している対策の効果を確認し，不足している点を洗い出すのは Check（点検・評価）の段階です。
- エ誤り。Act は，点検の結果を受けて改善を実施する段階です。この調査は，その前段の点検にあたります。