是正処置とは？

是正処置の意味

発見された不適合に対し、原因を除去して再発を防ぐ処置。目の前の事象を元に戻す「修正」とは区別され、なぜその不適合が起きたのかを掘り下げて、手順・教育・仕組みの側を変えることが求められる。有効性の確認までが一連の流れに含まれる。

是正処置の具体例

誤送信で個人データが流出した際、宛先へ削除を依頼するのが修正。是正処置は、外部宛メールの自動暗号化と一定件数以上の宛先への上長承認を導入し、3か月後に誤送信件数と運用の定着度を測って有効性を確かめる工程まで含む。

是正処置は試験でどう引っ掛けられる？

現行の規格では「予防処置」が独立の要求ではなくなり、潜在的な不適合への対応はリスク及び機会への取組みに統合されている点が古い教材との差になる。修正だけ行って是正処置完了と記録するのも典型的な不備。

是正処置と関連する用語

• マネジメントレビュー
• ISMS
• インシデント対応

是正処置が出た過去問

• 不適合への対応のうち，JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）の“是正処置”の定義はどれか。

  正解：不適合の原因を除去し，再発を防止するための処置

  要点：是正処置は原因を除去して再発を防ぐ処置

  JIS Q 27000における是正処置は、不適合の原因を除去して再発を防止するための処置と定義される。単に不適合そのものを取り除く「修正」とは区別され、原因分析を経て根本原因に手を打つ点が要点である。ISMSではPDCAのA（改善）に位置付けられる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• JIS Q 20000-1:2020（サービスマネジメントシステム要求事項）を適用している組織において、サービスマネジメントシステム（SMS）が次の要求事項に適…

  正解：内部監査

  要点：規格と自組織の要求への適合を定期に確かめるのは内部監査

  組織自身が定めた要求事項と規格の要求事項の双方に適合しているかを、あらかじめ定めた間隔で組織が自ら確かめる活動が内部監査である。監査結果は経営層に報告され、不適合があれば是正処置につなげる。マネジメントレビューは経営層が内部監査の結果などを受けて有効性や改善の方向を判断する場であり、適合状況を調べる活動そのものではない。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問24（IPA）

• JIS Q 20000-1:2020(サービスマネジメントシステム要求事項)によれば,サービスマネジメントシステム(SMS)における継続的改善の定義はどれか。

  正解：パフォーマンスを向上するために繰り返し行われる活動

  要点：継続的改善はパフォーマンス向上のため繰り返す活動

  JIS Q 20000-1:2020では、継続的改善を「パフォーマンスを向上するために繰り返し行われる活動」と定義している。一度きりの是正ではなく、繰り返し行われる点と、目的がパフォーマンスの向上にある点が定義の要である。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問24（IPA）