有効性の測定とは？ゆうこうせいのそくてい
有効性の測定とは、ISMSで実施している管理策やプロセスが、意図した結果を実際に達成しているかを、あらかじめ定めた指標・方法・時期で測る活動である。JIS Q 27001は、何を監視・測定するか、方法、時期、実施者、結果の分析・評価の時期と実施者を決めることを要求する。結果はマネジメントレビューの入力となり、次期の目的や資源配分の判断に使われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
対策を入れたつもりでも、効いていなければ費用だけがかかる。教育を年1回開いても不審メールを開く人が減っていないなら、方法を変える必要がある。だがそれは測らないと分からない。ISMSは計画→運用→評価→改善の循環で動くため、評価の段階に「実施したか」ではなく「効いたか」を見る測定を置いた。
具体例
標的型メール訓練を提供するKnowBe4は、訓練メールのクリック率を継続的に集計して業種別の推移を公表しており、初回の3割前後から1年で1桁台まで下がる傾向を示している。社内でも開封率、脆弱性修正プログラムの適用日数、インシデント検知から初動までの時間を四半期ごとに集計し、悪化した項目の原因を体制や手順に求める。
試験での引っ掛け
研修の開催回数や規程の本数といった実施量を数えても有効性を測ったことにならず、結果として行動や被害が変わったかを見る必要がある。測定の担当と評価の担当を分けて定義することがJIS Q 27001の要求である。内部監査は「要求どおり運用されているか」の適合性を見るもので、有効性の測定とは目的が異なる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。