有効性の測定とは？ゆうこうせいのそくてい
有効性の測定とは、打っている管理策やISMSが期待した働きをしているかを、決めておいた指標と手順で確かめること。JIS Q 27001は、測る対象・時期・実施者に加えて、その結果を誰がいつ分析し評価するのかまで定めるよう求めている。出てきた数字はマネジメントレビューへ上げられ、翌年度の計画と人・予算の配分を決める材料になる。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
規程を作り、研修も開いている組織で事故が減らないことがある。実施したという記録は残るのに、効いているかどうかを誰も見ていないためである。PDCAのCが「やったかどうか」の確認で止まると、改善が回らない。そこで活動の量ではなく結果を測る枠組みが要求事項として置かれた。試験では、パフォーマンス評価の一部としてどこまでを求められるかが問われる。
具体例
訓練メールの開封率、修正プログラムを適用し終えるまでの日数、インシデントの検知から初動までの時間を四半期ごとに集計する。指標と目標値は年度の情報セキュリティ目的として規程に定め、悪化した項目は教育の方法と体制のどちらに原因があるかを分析してマネジメントレビューへ上げる。
試験での引っ掛け
研修を何回開いたか、規程を何本作ったかという実施量は、有効性ではなく実施状況の記録にすぎない。測るのは結果の変化のほうである。また有効性の測定と内部監査は別物で、監査は要求事項に適合しているかを独立した立場で確かめる活動、測定は日々の運用の中で効果を指標でつかむ活動にあたる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。