令和元年度 秋期 （特別措置試験） 問68

✓ これが正解ウC

解説

運用されているかを確かめる監査は、点検にあたるCの段です。

情報セキュリティポリシは、作って終わりではなく、計画、実行、点検、改善という四つの段を回して育てます。一年前に作った方針が、決めたとおりに運用されているかを確かめる行いは、このうち点検にあたるCの段です。監査という形をとることで、作った本人とは別の目で、実際の姿を確かめられます。確かめた結果は次のAの段へ渡され、方針そのものを直したり、教育のやり方を変えたりするきっかけになります。Pの段では、守るべき対象と方針を定め、Dの段でそれを現場へ行き渡らせます。時が経てば、扱う情報も脅威も変わっていきます。だからこそ、決めたことが生きているかを折々に確かめる段が必要なのです。ISMSの考え方も、この輪を回すことを土台にしています。一巡ごとに、守りの水準が少しずつ上がります。よって最も適切なのはCです。

ほかの選択肢はなぜ違うのか

• アP：Pは、方針や計画を定める段です。何を守り、どんな決まりを置くかを決める場面にあたります。一年前に方針を作ったこと自体はこの段でしたが、問われているのはその後に行った確認の行いなので、時期が一つ前になります。
• イD：Dは、定めたことを実際に行う段です。決まりを現場へ知らせ、日々の業務の中で守っていく場面にあたります。運用そのものはこの段ですが、それが正しく行われているかを外から確かめる行いは、次の段に置かれます。日々の記録がCの段の材料になります。
• エA：Aは、点検で分かったことを受けて直す段です。方針を書き改めたり、教育のやり方を変えたりします。確かめた結果がなければ何を直すかを決められないので、確認の行いよりも一つ後ろに置かれます。直す段は、点検が終わってから動き出します。