継続的改善とは？

継続的改善の意味

管理の仕組みを一度作って終わりにせず、点検で見つかった問題や環境の変化を踏まえて繰り返し良くしていく考え方。マネジメントシステムの根幹をなす原則であり、脅威も業務も変わり続ける以上、昨年有効だった対策が今年も十分とは限らないという前提に立つ。

継続的改善の具体例

前年度に研修を行った後も標的型メールの訓練で開封率が下がらなかったため、教材を一般論の説明から自社宛に届いた実例の紹介へ差し替え、部署別の結果を各課長へ返す方式に変えた。そのうえで翌年の訓練で開封率が実際に改善したかを再び測る。

継続的改善は試験でどう引っ掛けられる？

問題が見つかったときだけ行うものではなく、指摘がなくても環境の変化に合わせて見直すことが含まれる。また、改善の対象は個々の対策だけでなく、仕組みや手順そのものにも及ぶ。

継続的改善と関連する用語

• PDCAサイクル（ISMSにおける）
• 是正処置
• マネジメントレビュー

継続的改善が出た過去問

• サービスマネジメントシステムにPDCA方法論を適用するとき，Actに該当するものはどれか。

  正解：サービスマネジメントシステム及びサービスのパフォーマンスを継続的に改善するための処置を実施する。

  要点：Actは点検結果を受けて継続的改善の処置を実施する段階

  PDCAサイクルのAct（処置・改善）は、Checkでの監視・測定・レビューの結果を踏まえ、仕組みやサービスを継続的に改善するための処置を実施する段階である。ここでの改善が次のPlanへつながっていく。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問41（IPA）

• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を除去し、再発を防止するためのものとして定…

  正解：是正処置

  要点：是正処置は原因を除去して再発を防ぐ、修正は不適合を直すだけ

  是正処置は、発生した不適合の原因を除去して再発を防止するための処置である。表面的に不具合を直すだけの「修正」と区別される点が重要で、是正処置では原因分析を経て原因そのものを取り除く。継続的改善はパフォーマンスを繰り返し向上させる活動を指し、意味が異なる。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…

  正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

  要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する

  JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）