継続的改善とは？けいぞくてきかいぜん
継続的改善とは、マネジメントシステムを一度作って終わりにせず、監視・測定、内部監査、マネジメントレビューで見つかった問題や環境の変化を踏まえて繰り返し良くしていく原則。JIS Q 27001では、ISMSの適切性・妥当性・有効性を継続的に改善することが要求事項として定められている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脅威も業務のやり方も変わり続けるため、昨年度に有効だった対策が今年度も十分だとは限らない。一方で、問題が起きるたびに場当たりで手当てすると対策同士が矛盾し、現場が守れない規程になる。点検→分析→是正→効果の確認という決まった回路へ問題を流し込む形にすることで、変化への追随と一貫性を両立させる。sgでは是正処置との範囲の違いが問われる。
具体例
JIS Q 27001の認証を維持する組織は、年1回の内部監査とマネジメントレビューで規程と実態のずれを洗い出す。テレワークの拡大で持出し申請の運用が形骸化していたなら、規程を実態に合う形へ直したうえで、翌期に申請件数と例外承認の件数を測り、狙いどおり改善したかを確かめる。
試験での引っ掛け
問題が見つかったときにだけ行うものではなく、指摘がなくても環境や技術の変化に合わせて見直すことを含む。改善の対象も個々の対策にとどまらず、規程・手順・教育のやり方といった仕組みそのものに及ぶ。不適合への是正処置は原因を取り除く個別対応で、継続的改善はそれを含むより広い活動だという関係を押さえる。
関連用語
出た過去問
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問41（IPA）解説で登場
サービスマネジメントシステムにPDCA方法論を適用するとき，Actに該当するものはどれか。
正解：サービスマネジメントシステム及びサービスのパフォーマンスを継続的に改善するための処置を実施する。
要点：Actは点検結果を受けて継続的改善の処置を実施する段階
PDCAサイクルのAct（処置・改善）は、Checkでの監視・測定・レビューの結果を踏まえ、仕組みやサービスを継続的に改善するための処置を実施する段階である。ここでの改善が次のPlanへつながっていく。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）解説で登場
JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)において、不適合が発生した場合にその原因を除去し、再発を防止するためのものとして定…
正解：是正処置
要点：是正処置は原因を除去して再発を防ぐ、修正は不適合を直すだけ
是正処置は、発生した不適合の原因を除去して再発を防止するための処置である。表面的に不具合を直すだけの「修正」と区別される点が重要で、是正処置では原因分析を経て原因そのものを取り除く。継続的改善はパフォーマンスを繰り返し向上させる活動を指し、意味が異なる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）解説で登場
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…
正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況
要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する
JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティマネジメントシステム（ISMS）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。