不適合とは？

不適合の意味

規格や自組織で定めた規程などの要求事項が満たされていない状態のこと。監査や日常の点検で見つかった場合は、その場をしのぐ処置だけでなく、なぜ起きたのかという原因を掘り下げ、同じことが再び起きないようにする手当てまで行うことが求められる。

不適合の具体例

内部監査で、退職者のアカウントが3件残っていることが見つかった。ただちに削除するのは応急の処置であり、人事の退職連絡が情報システム部門に届く仕組みがなかったという原因まで直して初めて手当てが完了する。

不適合は試験でどう引っ掛けられる？

見つかった状態を元に戻すことと、原因を取り除くことは別である。前者だけで報告を終えると同じ指摘が翌年も繰り返される。また、不適合は必ずしも重大な事故を意味しない点にも注意する。

不適合と関連する用語

• 是正処置
• 内部監査
• 継続的改善

不適合が出た過去問

• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定…

  正解：是正処置

  要点：是正処置は不適合の原因を除去し再発を防ぐ処置

  是正処置は、発生した不適合の原因を取り除き、同じ不適合が再び起こらないようにするための処置である。目の前の不具合をその場で直すだけの「修正」とは区別され、原因追究を伴う点が本質となる。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識をもたなければならないとされているのは、…

  正解：情報セキュリティ方針

  要点：全員が認識すべきは方針・自らの貢献・不適合の意味

  JIS Q 27001の箇条7.3「認識」では、組織の管理下で働く人々が、情報セキュリティ方針、ISMSの有効性に対する自らの貢献、ISMS要求事項に適合しないことの意味の三つを認識しなければならないと定めている。適用宣言書や内部監査結果は文書化した情報や監査の要求事項であり、全員が認識すべき事項としては挙げられていない。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問11（IPA）

• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を除去し、再発を防止するためのものとして定…

  正解：是正処置

  要点：是正処置は原因を除去して再発を防ぐ、修正は不適合を直すだけ

  是正処置は、発生した不適合の原因を除去して再発を防止するための処置である。表面的に不具合を直すだけの「修正」と区別される点が重要で、是正処置では原因分析を経て原因そのものを取り除く。継続的改善はパフォーマンスを繰り返し向上させる活動を指し、意味が異なる。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…

  正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

  要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する

  JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）において、不適合が発生した場合にその原因を除去し、再発を防止するためのものとして定…

  正解：是正処置

  要点：是正処置は原因除去で再発防止、修正は現象の除去

  JIS Q 27000では、不適合の原因を除去して再発を防ぐ処置を是正処置と定義している。単に現れた不具合そのものを取り除く「修正」と異なり、なぜ起きたのかという原因にさかのぼって手を打つ点が本質である。原因除去まで行わなければ同じ不適合が繰り返されるため、両者は明確に区別される。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問3（IPA）