ITパスポート過去問 平成30年度（2018年）問61
PDCAモデルに基づいてISMSを運用している組織において，運用しているサーバのソフトウェアに対する最新の修正プログラムの有無を，定められた運用手順に従って毎日調べる業務は，PDCAのどのフェーズか。
選択肢
- ア：P（Plan）
- イ：D（Do）
- ウ：C（Check）
- エ：A（Action）
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
問題の作業は、「定められた運用手順に従って毎日調べる」とあるとおり、決めた手順を日々実施する運用作業です。PDCAでは、計画した内容を実行するフェーズがD（Do）なので、該当するのは「イ」です。
Point
PDCAのP・D・C・Aがそれぞれ何をする段階かを区別できるかを確認する問題です。特に、「手順に従って毎日行う」ような定常作業はD（Do）に当たることを理解しているかが問われます。
解くために必要な知識
この問題を解くには、PDCAモデルの各フェーズの定義と、運用手順に従って実施する作業がどのフェーズに当たるかの判断が必要です。
用語の整理
| 用語 | 意味 |
|---|---|
| ISMS（情報セキュリティマネジメントシステム） | 情報セキュリティを維持・改善するために、方針、手順、体制、運用、監視、改善を継続的に行う仕組みです。 |
| PDCA | Plan（計画）、Do（実施）、Check（評価）、Action（改善）を繰り返す考え方です。 |
| 修正プログラム（パッチ） | ソフトウェアの欠陥修正や脆弱性対策のために提供される更新プログラムです。 |
PDCA各フェーズの判断基準
| フェーズ | 目的 | 代表的な活動例 |
|---|---|---|
| P（Plan） | 実施方法を決める | 方針策定、リスク評価、運用手順の作成 |
| D（Do） | 決めた手順を実行する | 手順に沿った運用、パッチ確認や適用、教育の実施 |
| C（Check） | 実行結果を評価する | 運用記録の確認、監視、内部監査、測定 |
| A（Action） | 評価結果を受けて直す | 是正処置、手順や規程の見直し、改善の実施 |
問題の解法手順
「定められた運用手順に従って毎日調べる」という記述から、これは評価や監査ではなく、手順に基づく日常の運用作業だと分かります。
各選択肢の整理
| フェーズ | ISMSにおける具体的な活動例 |
|---|---|
| P（Plan） | セキュリティ基本方針の作成、リスクアセスメント、運用ルールの策定 |
| D（Do） | 手順書に基づいた運用、修正プログラムの確認と適用、セキュリティ教育の実施 |
| C（Check） | ログの点検、内部監査の実施、手順どおりに運用できているかの評価 |
| A（Action） | 監査結果を受けた改善、セキュリティポリシーの改訂、是正処置 |
設問の作業は「手順書に基づいた運用」に該当するため、D（Do）を選びます。
選択肢ごとの解説
- ア：不正解
P（Plan）は計画の段階です。セキュリティ方針の作成や運用ルールの策定などが該当します。既に決めた手順に従って毎日実施する作業はPではありませんので誤りです。
- イ：正解
D（Do）は実施の段階です。定められた運用手順に従い、サーバのソフトウェアに対する最新の修正プログラムの有無を毎日確認する業務は、日常の運用作業として手順を実行しているため該当するため正解です。
- ウ：不正解
「ウ」のC（Check）は、実施結果が適切か、計画どおりかを点検・評価する段階です。本問は点検・評価ではなく、手順として実施する日常運用の作業なので該当しませんので誤りです。
- エ：不正解
A（Act）は、点検結果を受けて手順や対策を改善する段階です。本問は改善の記述ではなく、定常的に行う実施作業なので該当しませんので誤りです。
まとめ
問題の作業は、「定められた運用手順に従って毎日調べる」とあるとおり、決めた手順を日々実施する運用作業です。PDCAでは、計画した内容を実行するフェーズがD（Do）なので、該当するのは「イ」です。
テクノロジ系 > 技術要素 > セキュリティ
P（Plan）は計画の段階です。セキュリティ方針の作成や運用ルールの策定などが該当します。既に決めた手順に従って毎日実施する作業はPではありませんので誤りです。
D（Do）は実施の段階です。定められた運用手順に従い、サーバのソフトウェアに対する最新の修正プログラムの有無を毎日確認する業務は、日常の運用作業として手順を実行しているため該当するため正解です。
「ウ」のC（Check）は、実施結果が適切か、計画どおりかを点検・評価する段階です。本問は点検・評価ではなく、手順として実施する日常運用の作業なので該当しませんので誤りです。
A（Act）は、点検結果を受けて手順や対策を改善する段階です。本問は改善の記述ではなく、定常的に行う実施作業なので該当しませんので誤りです。