不具合時における再発防止策｜情報セキュリティマネジメント 令和元年 秋期午前試験 問5
出典：令和元年秋期 午前 問5
分野：セキュリティ ／ 情報セキュリティ管理
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。
- ア：継続的改善
- イ：修正
- ウ：是正処置
- エ：リスクアセスメント
TSUNAGARU-ADVICE
まず押さえたいこと
是正処置は、発生した不適合について、その原因を除去し、同じ不適合が再び起きないようにするための処置です。単に目の前の不具合を直すだけでなく、「なぜ起きたのか」を調べ、原因そのものに対策する点が重要です。
迷ったときの判断軸
「修正」は発生した不適合そのものを直すこと、「是正処置」は原因を除去して再発を防ぐことです。継続的改善は組織全体のパフォーマンスを継続して高める考え方、リスクアセスメントはリスクの特定・分析・評価を行うプロセスです。
科目Bにつなげるために
科目Bでは、インシデント対応後に同じ問題を繰り返さないため、直接的な復旧だけで終わらせず、根本原因を特定して再発防止策を実施することが重要です。「復旧」と「再発防止」を分けて考えると、是正処置の役割を判断しやすくなります。
JIS Q 27000:2019における是正処置は、発生した不適合について、その原因を除去し、再発を防止するための処置です。単に発生した問題をその場で直すだけでなく、同じ不適合が繰り返されないように原因へ対応する点が特徴です。
本問では、「不適合が発生した場合にその原因を除去し」「再発を防止する」という部分が判断のポイントです。この定義に該当するため、ウが適切です。
❌他選択肢が誤りの理由ア：継続的改善
⇒継続的改善は、要求事項を満たす能力やパフォーマンスを継続的に向上させていく活動です。不適合の原因を除去して再発を防止する処置そのものではありません。
イ：修正
⇒修正は、発見された不適合そのものを取り除くための処置です。原因まで除去して再発を防止する是正処置とは異なります。
エ：リスクアセスメント
⇒リスクアセスメントは、リスクを特定・分析・評価する一連のプロセスです。不適合の原因を除去して再発を防止する処置ではありません。