JIS Q 27000:2014の"是正処置"｜情報処理安全確保支援士平成29年秋期午前Ⅱ試験問11

出典：平成29年秋期午前Ⅱ 問11 分野：セキュリティ／情報セキュリティ管理

不適合への対応のうちJIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の"是正処置"の定義はどれか。

解説

是正処置は、不適合が起きたあとに、その原因を取り除き、同じ問題が再発しないようにするための処置です。

ポイントは、単に目の前の不適合を直すだけではないという点です。JIS Q 27000では、是正処置を「不適合の原因を除去し、再発を防止するための処置」と定義しています。

たとえば、アクセス権限の設定ミスが見つかった場合、設定を直すだけでは「不適合への対処」です。是正処置では、なぜ設定ミスが起きたのかを調べ、確認手順を追加したり、承認フローを見直したりして、同じミスが起きないようにします。

つまり、是正処置は「起きた問題を直す」だけでなく、「原因まで取り除き、再発を防ぐ」ための活動です。

したがって、イが適切です。

❌他選択肢が誤りの理由
ア：不適合によって起こった結果に対処するための処置
⇒不適合によって生じた影響や結果への対処を示しています。是正処置は、結果だけでなく不適合の原因を除去し、再発を防止する処置です。

ウ：不適合の性質及び対応結果について文書化するための処置
⇒不適合への対応内容を記録する活動に関する説明です。文書化は必要ですが、是正処置そのものの定義ではありません。

エ：不適合を除去するための処置
⇒修正の説明です。修正は、発見された不適合そのものを取り除く処置であり、不適合の原因を除去して再発を防ぐ是正処置とは異なります。

TSUNAGARU-ADVICE

JIS Q 27000における是正処置は、不適合が起きたあとに、その原因を取り除き、同じ不適合が再発しないようにするための処置です。単に発生した問題を片付けるだけでなく、原因を除去して再発を防ぐことがポイントです。

不適合によって起こった結果に対処することは、応急的な対応や修正に近い考え方です。不適合を除去することも重要ですが、それだけでは原因が残り、再発する可能性があります。是正処置は、起きた不適合の根本原因まで確認して取り除く処置と判断しましょう。

科目Bでは、ISMS・内部監査・インシデント対応・再発防止策・PDCAなどと絡めて問われることがあります。監査指摘やインシデント後の対応では、表面的な復旧だけで終わらせず、なぜ起きたのか、同じ問題をどう防ぐのかまで整理する視点を持ちましょう。

※マネジメント関連試験向け。

参考

JIS Q 27000:2014の"是正処置"｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問11