ギャップ分析とは？ぎゃっぷぶんせき
ギャップ分析とは、目指す姿（規格の要求事項・目標水準・ベンチマーク）と現状を項目ごとに突き合わせ、差分を洗い出して埋めるべき項目と優先順位を決める手法。ISMSやプライバシーマークの取得前、監査指摘への対応計画、CSIRT体制の整備などで最初に行う。支援士シラバスではサービスの継続的改善の項にCSF・KPIと並んで挙げられている。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
改善したい気持ちだけでは、何をどこまでやれば足りるのかが決まらない。基準を明文化して現状を項目ごとに採点すると、足りない箇所が客観的に見え、担当と期限を付けた計画に変わる。ISMSの認証取得では審査の前に要求事項と現状のギャップを潰す作業が必須で、経営層へ投資の根拠を説明する材料にもなる。試験では現状把握の次に行う作業、改善サイクルの入口として問われる。
具体例
JIS Q 27001の附属書A管理策93項目を1行ずつ表にし、自社の規程と実施記録を照らして「実施済・一部・未実施」で採点する。未実施だった「ログ記録の保護」と「バックアップの検証」を優先課題にし、担当と四半期の期限を付けて是正計画にする。NISTのサイバーセキュリティフレームワークでも現在のプロファイルと目標プロファイルの差を同様に扱う。
試験での引っ掛け
差分を列挙しただけでは改善ではなく、埋める工数と効果を評価し優先順位を付けるまでが一連の作業。あるべき姿を明文化せずに始めると評価者ごとに判定が揺れて比較できない。またリスクアセスメントは脅威と影響を見積もる作業であり、基準との差を見るギャップ分析とは目的が違う。
関連用語
出典・参考
公式シラバスの6 サービスマネジメント ＞ 3. パフォーマンス評価及び改善 ＞ (2) 改善に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。