問5 JIS Q 27000 の是正処置

情報セキュリティマネジメント試験令和元年度秋期午前、全50問のうちの問5。

JIS Q 2⁠7⁠0⁠0⁠0:2⁠0⁠1⁠9（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。

ア継続的改善
イ修正
ウ是正処置
エリスクアセスメント

答えと解説を開く

正解はウです。

ISMS では、決めたルールや規格の要求を満たしていない状態を不適合と呼びます。不適合が見つかったら、まず目の前の状態を直します。これが修正です。それだけでは同じことがまた起きるかもしれないので、なぜ起きたのかを調べて原因を取り除きます。これが是正処置です。問題文の「原因を除去し、再発を防止する」は是正処置の説明です。正解はウです。

ほかの選択肢が違う理由

ア継続的改善は、パフォーマンスを高めるために繰り返し行う活動です。不適合が起きたときに限らず、ISMS 全体を良くしていく取組を指します。
イ修正は、見つかった不適合をその場で直す処置です。原因を取り除いて再発を防ぐところまでは含みません。
エリスクアセスメントは、リスクを特定し、分析し、評価する一連の流れです。不適合への処置ではありません。

仕組み

修正と是正処置の違いがよく問われます。たとえば鍵の掛け忘れが見つかったとき、鍵を掛けるのが修正、なぜ掛け忘れたかを調べて手順や仕組みを変えるのが是正処置です。

是正処置は、PDCA の A (改善) に当たります。不適合と原因、処置の結果を記録しておくことで、同じ失敗を繰り返さない組織になります。