最終更新日：2026年8月14日

fe fe-technology security

まず結論

ISMSのPDCAでは、何をしているかで4段階を切り分けます。

Plan
→ 方針を決める
→ リスクを評価する
→ 対策を計画する

Do
→ 決めた対策を実施・運用する

Check
→ 実施状況を監視・レビュー・評価する

Act
→ 問題を是正し、改善する

基本情報技術者試験で特に注意したいのは、リスクアセスメントは「評価」という言葉を含んでいてもPlanだという点です。

これから何をすべきか決めるための評価
→ Plan

実施した結果を確認するための評価
→ Check

直感的な説明

PDCAは、仕事を継続的に改善するときの流れです。

例えば、会社の情報セキュリティ対策を考える場面なら、次のようになります。

危険なところを調べる
↓
対策を決める
↓
実際に対策する
↓
うまくできたか確認する
↓
問題があれば直す

これをPDCAに当てはめると、

危険を調べて計画する
→ Plan

対策を実行する
→ Do

結果を確認する
→ Check

問題を直す
→ Act

となります。

試験では、英単語を暗記するよりも、「実施前なのか、実施中なのか、実施後の確認なのか、改善なのか」を見ると判断しやすくなります。

定義・仕組み

PDCAは、次の4段階を繰り返して、業務や管理の仕組みを継続的に改善する考え方です。

段階 意味 ISMSでの例
Plan 計画 リスクアセスメント、方針や対策の計画
Do 実行 セキュリティ対策の実施、運用
Check 点検・評価 実施状況の監視、レビュー
Act 改善 是正、見直し、改善

Plan

Planでは、現状やリスクを把握し、これから何をするか決めます。

代表的な内容は次のとおりです。

  • 情報資産を把握する
  • リスクを特定・分析・評価する
  • セキュリティ方針を決める
  • 必要な対策を計画する

ここで重要なのがリスクアセスメントです。

リスクアセスメントは危険度を「評価」しますが、目的はこれから必要な対策を決めることなので、Planに分類します。

Do

Doでは、Planで決めた内容を実行します。

  • セキュリティ対策を実施する
  • 教育や訓練を行う
  • 日常の運用を行う
  • 決められた手順に従って管理する

キーワードは、実施・運用・実行です。

Check

Checkでは、実施した内容が予定どおり機能しているか確認します。

  • 運用状況を監視する
  • 実施状況をレビューする
  • 有効性を評価する
  • 問題がないか確認する

キーワードは、監視・点検・レビュー・確認です。

Act

Actでは、Checkで見つかった問題を是正し、仕組みを改善します。

  • 問題を是正する
  • 改善策を実施する
  • 方針や手順を見直す
  • 次のPDCAにつなげる

キーワードは、是正・見直し・改善です。

公式の出題範囲やシラバスは、IPA：基本情報技術者試験から確認できます。

科目Aでどう出る？

科目Aでは、ISMSの活動を見て、PDCAのどこに当たるかを選ぶ問題が考えられます。

まずは、動作を見ます。

問題文の表現 判断
リスクを特定・分析・評価する Plan
方針や対策を決める Plan
対策を実施する Do
運用する Do
実施状況を監視する Check
レビューする Check
問題を是正する Act
改善策を実施する Act

「評価」という言葉だけでCheckにしない

最も迷いやすいポイントです。

リスクを評価する
→ これからの対策を決めるため
→ Plan

一方で、

実施した対策の有効性を評価する
→ 実施結果を確認するため
→ Check

となります。

つまり、同じ「評価」でも、何を評価しているかを確認します。

試験中の判断順

迷ったときは、次の順番で考えます。

1. これから何をするか決めている？
→ Plan

2. 決めたことを実行している？
→ Do

3. 実行した結果を確認している？
→ Check

4. 問題を直している？
→ Act

この順番なら、用語だけに引っ張られにくくなります。

どんな場面で使う？

PDCAは、ISMSに限らず、組織の管理や改善を継続的に行う場面で使われます。

ISMSでは、例えば次の流れです。

リスクを把握する
↓
必要な対策を計画する
↓
対策を実施する
↓
実施状況を確認する
↓
改善する
↓
再びリスクや計画を見直す

一度対策を実施して終わりではなく、環境の変化や新しい脅威に合わせて見直していくことが重要です。

FEでは、PDCA一般の意味だけでなく、具体的な作業を4段階のどこへ置くかを判断できるようにしておくと対応しやすくなります。

よくある誤解・混同

リスクアセスメントは「評価」だからCheck？

違います。

リスクアセスメント
→ これから対策を考えるための評価
→ Plan

対策の実施状況を評価
→ 実施後の確認
→ Check

「評価」という単語ではなく、評価の目的とタイミングで切り分けます。

改善策を「実施」するからDo？

ここもひっかけになりやすいところです。

「実施」という言葉だけを見るとDoに見えますが、改善策の実施は問題を是正・改善する活動なのでActです。

計画したセキュリティ対策を実施
→ Do

問題を受けて改善策を実施
→ Act

運用状況を「管理」するからCheck？

「管理」という言葉は広いので、それだけでは判断しません。

日常的な運用を実施・維持する活動ならDoです。

一方、運用が適切かを監視・評価するならCheckです。

運用する
→ Do

運用状況を監視・レビューする
→ Check

PDCAは一度回せば終わり？

PDCAは繰り返して改善する考え方です。

Plan → Do → Check → Act
                  ↓
              次のPlanへ

Actで改善した内容は、次のPlanにつながります。

確認問題（基本情報技術者試験対策）

ISMSのPDCAにおいて、Planに該当する活動として最も適切なものはどれか。

  • ア. 情報セキュリティ対策の運用を行う
  • イ. 実施した対策の有効性をレビューする
  • ウ. 発見した問題に対する改善策を実施する
  • エ. 情報資産に対するリスクを特定・分析・評価する
▶ クリックして答えと解説を見る（ここを開く）

正解：エ

リスクアセスメントは、これから必要な対策を決めるためにリスクを特定・分析・評価する活動なので、Planに該当します。

  • アはDoです。
  • イはCheckです。
  • ウはActです。

「評価」という言葉だけでCheckと判断せず、実施前のリスク評価なのか、実施後の結果評価なのかを確認することがポイントです。

まとめ（試験直前用）

  • Plan：リスクアセスメント、方針・対策の計画
  • Do：対策の実施、運用
  • Check：監視、点検、レビュー、実施結果の評価
  • Act：是正、見直し、改善
  • リスクアセスメントは「評価」でもPlan
  • 改善策の実施は「実施」でもAct
  • 単語だけでなく、「実施前・実施中・実施後・改善」のどこかで判断する

© 2024-2026 stemtazoo. All rights reserved.