PDCAの問題と解説（1） | 情報セキュリティマネジメント

正解：ウ

各選択肢の解説

アDo（実行）
誤り。Doは、定めた計画に沿って管理策を実際に導入・運用する段階です。管理策の名前が出てくるので実行に見えますが、この場面では導入する内容と担当と期限を決めただけで、まだ何も導入していません。決めたか、やったかで区別します。
イCheck（点検・評価）
誤り。Checkは、実施した管理策が計画どおりに働いているか、効果があるかを監視や監査で確かめる段階です。リスクアセスメントも「評価」なので混同しがちですが、 Checkが評価するのは実施した後の結果で、これから行う対策を選ぶ評価ではありません。
ウPlan（計画）
正解。リスクを評価して対応の優先順位と管理策を選び、担当と期限を決めるのは、これから何をどう進めるかを定めるPlanの活動です。
エAct（処置・改善）
誤り。Actは、点検で見つかった問題の原因を取り除き、仕組みを改善する段階です。対策を決め直す点で計画と似ていますが、Actは点検の結果を受けた是正が出発点です。この場面は、点検の前の最初の計画づくりにあたります。

健康診断で言えば、体重を5kg減らすために「毎朝30分歩く、来月から始める」と決めるのがPlan、実際に歩くのがDo、1か月後に体重を測るのがCheck、減っていなければ原因を考えてやり方を変えるのがActです。

この場面の委員会は、リスクアセスメントの結果から「どのリスクに、どの管理策で、誰が、いつまでに」を決めています。まだ導入も確認もしていないので、Plan の活動です。

リスクアセスメントには「評価」という言葉が含まれるため、Checkと取り違えやすい点に注意します。Checkで評価するのは、実施した対策の結果です。

「決めた」で終わっているか、「やった」「確かめた」「直した」まで進んでいるかで段階を見分けます。