令和5年度 ITパスポート 問79（テクノロジ）
出典：令和5年度 ITパスポート試験 公開問題 問79（独立行政法人情報処理推進機構（IPA））
PDCAモデルに基づいてISMSを運用している組織の活動において，次のような調査報告があった。この調査はPDCAモデルのどのプロセスで実施されるか。
社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
- アP
- イD
- ウC
- エA
正解と解説を見る
正解：ウ
【ISMSのPDCAモデル】
ISMS（Information Security Management System、情報セキュリティマネジメントシステム）は、次のPDCAサイクルを繰り返して、継続的に改善していきます。
・P（Plan、計画）：リスクを分析し、対策や目標、規定を決める
・D（Do、実行）：決めた対策や手順を実行・運用する
・C（Check、評価）：実行した結果を監視・測定し、対策の効果や不足を評価する。内部監査もここに含まれる
・A（Act、改善）：評価で見つかった問題点を是正し、改善する
【調査報告の位置付け】
調査報告は、受信メールのマルウェア検知システムが効果を上げていることを確認する一方で、送信メールの対策の規定や手順がなく、誤送信のリスクがあることを指摘しています。運用中の対策の効果を確かめ、不足している点を見つけているので、C（評価）で実施される調査です。この結果を受けて、送信メールの規定を整えるのがA（改善）の活動になります。
【選択肢の検討】
ア：P（計画）は、対策や規定を決める段階で、運用の結果を調べる段階ではありません。
イ：D（実行）は、決めた対策を運用する段階です。
ウ：対策の効果と不足を調べて評価しているので、C（評価）です。
エ：A（改善）は、評価で見つかった問題点を是正する段階です。この報告は問題点の指摘までで、是正はこれからです。
よって、正解は選択肢ウです。