令和4年度 問58

✓ これが正解イ内部監査

解説

パフォーマンス評価に置かれるのは、確かめる側の内部監査です。

ISMSは、計画、運用、パフォーマンス評価、改善という四つの段を回しながら、情報セキュリティの水準を保っていく仕組みです。これはPDCAと呼ばれる回し方にそのまま重なります。このうちパフォーマンス評価が受け持つのは、決めたとおりにできているかを確かめる段で、監視や測定や分析のほか、あらかじめ計画した形で組織の中の人が行う内部監査や、経営層による見直しが置かれます。したがって、四つの選択肢のうち内部監査がここに当たります。ほかの三つを当てておくと、運用の計画及び管理は運用の段、不適合の是正処置は改善の段、リスクの決定は計画の段の作業です。内部監査は思いつきで行うのではなく、あらかじめ計画を立てて、独立した立場の人が行います。よってパフォーマンス評価で実施するのは内部監査です。

ほかの選択肢はなぜ違うのか

• ア運用の計画及び管理：運用の計画及び管理は、決めたことを実際に動かしていく段、すなわち運用の作業です。パフォーマンス評価は、その運用がうまくいっているかを後から確かめる段なので、順番としては一つ手前に置かれます。四つの段を回す順序を思い出せば、どの段の作業なのかで見分けられます。
• ウ不適合の是正処置：不適合の是正処置は、確かめた結果として見つかった食い違いを直していく段、すなわち改善の作業です。パフォーマンス評価で見つけたものを受けて動くので、評価そのものではなく、その次の段に置かれます。
• エリスクの決定：リスクの決定は、どんな危険があってどれから手を打つのかを見きわめる段、すなわち計画の作業です。四つの段のいちばん最初に置かれるもので、できているかどうかを確かめるパフォーマンス評価とは役目が違います。