--- title: "ISMSのPDCAとは？Plan・Do・Check・Actの切り分け【基本情報技術者試験】" description: "ISMSのPDCAを、リスクアセスメントはPlan、運用や対策実施はDo、監視・レビューはCheck、是正・改善はActとして整理し、「評価」という言葉だけでCheckと判断しないための科目Aの切り分けを解説します。" last_modified_at: "2026-08-14" canonical_url: "https://stemtazoo.github.io/fe/isms-pdca/" section: "fe" --- ## まず結論 ISMSのPDCAでは、**何をしているか**で4段階を切り分けます。 ```text Plan → 方針を決める → リスクを評価する → 対策を計画する Do → 決めた対策を実施・運用する Check → 実施状況を監視・レビュー・評価する Act → 問題を是正し、改善する ``` 基本情報技術者試験で特に注意したいのは、**リスクアセスメントは「評価」という言葉を含んでいてもPlan**だという点です。 ```text これから何をすべきか決めるための評価 → Plan 実施した結果を確認するための評価 → Check ``` ## 直感的な説明 PDCAは、仕事を継続的に改善するときの流れです。 例えば、会社の情報セキュリティ対策を考える場面なら、次のようになります。 ```text 危険なところを調べる ↓ 対策を決める ↓ 実際に対策する ↓ うまくできたか確認する ↓ 問題があれば直す ``` これをPDCAに当てはめると、 ```text 危険を調べて計画する → Plan 対策を実行する → Do 結果を確認する → Check 問題を直す → Act ``` となります。 試験では、英単語を暗記するよりも、**「実施前なのか、実施中なのか、実施後の確認なのか、改善なのか」**を見ると判断しやすくなります。 ## 定義・仕組み PDCAは、次の4段階を繰り返して、業務や管理の仕組みを継続的に改善する考え方です。 | 段階 | 意味 | ISMSでの例 | |---|---|---| | Plan | 計画 | リスクアセスメント、方針や対策の計画 | | Do | 実行 | セキュリティ対策の実施、運用 | | Check | 点検・評価 | 実施状況の監視、レビュー | | Act | 改善 | 是正、見直し、改善 | ### Plan Planでは、現状やリスクを把握し、これから何をするか決めます。 代表的な内容は次のとおりです。 - 情報資産を把握する - リスクを特定・分析・評価する - セキュリティ方針を決める - 必要な対策を計画する ここで重要なのが**リスクアセスメント**です。 リスクアセスメントは危険度を「評価」しますが、目的は**これから必要な対策を決めること**なので、Planに分類します。 ### Do Doでは、Planで決めた内容を実行します。 - セキュリティ対策を実施する - 教育や訓練を行う - 日常の運用を行う - 決められた手順に従って管理する キーワードは、**実施・運用・実行**です。 ### Check Checkでは、実施した内容が予定どおり機能しているか確認します。 - 運用状況を監視する - 実施状況をレビューする - 有効性を評価する - 問題がないか確認する キーワードは、**監視・点検・レビュー・確認**です。 ### Act Actでは、Checkで見つかった問題を是正し、仕組みを改善します。 - 問題を是正する - 改善策を実施する - 方針や手順を見直す - 次のPDCAにつなげる キーワードは、**是正・見直し・改善**です。 公式の出題範囲やシラバスは、[IPA：基本情報技術者試験](https://www.ipa.go.jp/shiken/kubun/fe.html)から確認できます。 ## 科目Aでどう出る？ 科目Aでは、ISMSの活動を見て、PDCAのどこに当たるかを選ぶ問題が考えられます。 まずは、動作を見ます。 | 問題文の表現 | 判断 | |---|---| | リスクを特定・分析・評価する | Plan | | 方針や対策を決める | Plan | | 対策を実施する | Do | | 運用する | Do | | 実施状況を監視する | Check | | レビューする | Check | | 問題を是正する | Act | | 改善策を実施する | Act | ### 「評価」という言葉だけでCheckにしない 最も迷いやすいポイントです。 ```text リスクを評価する → これからの対策を決めるため → Plan ``` 一方で、 ```text 実施した対策の有効性を評価する → 実施結果を確認するため → Check ``` となります。 つまり、同じ「評価」でも、**何を評価しているか**を確認します。 ### 試験中の判断順 迷ったときは、次の順番で考えます。 ```text 1. これから何をするか決めている？ → Plan 2. 決めたことを実行している？ → Do 3. 実行した結果を確認している？ → Check 4. 問題を直している？ → Act ``` この順番なら、用語だけに引っ張られにくくなります。 ## どんな場面で使う？ PDCAは、ISMSに限らず、組織の管理や改善を継続的に行う場面で使われます。 ISMSでは、例えば次の流れです。 ```text リスクを把握する ↓ 必要な対策を計画する ↓ 対策を実施する ↓ 実施状況を確認する ↓ 改善する ↓ 再びリスクや計画を見直す ``` 一度対策を実施して終わりではなく、環境の変化や新しい脅威に合わせて見直していくことが重要です。 FEでは、PDCA一般の意味だけでなく、**具体的な作業を4段階のどこへ置くか**を判断できるようにしておくと対応しやすくなります。 ## よくある誤解・混同 ### リスクアセスメントは「評価」だからCheck？ 違います。 ```text リスクアセスメント → これから対策を考えるための評価 → Plan ``` ```text 対策の実施状況を評価 → 実施後の確認 → Check ``` 「評価」という単語ではなく、**評価の目的とタイミング**で切り分けます。 ### 改善策を「実施」するからDo？ ここもひっかけになりやすいところです。 「実施」という言葉だけを見るとDoに見えますが、改善策の実施は**問題を是正・改善する活動**なのでActです。 ```text 計画したセキュリティ対策を実施 → Do 問題を受けて改善策を実施 → Act ``` ### 運用状況を「管理」するからCheck？ 「管理」という言葉は広いので、それだけでは判断しません。 日常的な運用を実施・維持する活動ならDoです。 一方、運用が適切かを監視・評価するならCheckです。 ```text 運用する → Do 運用状況を監視・レビューする → Check ``` ### PDCAは一度回せば終わり？ PDCAは繰り返して改善する考え方です。 ```text Plan → Do → Check → Act ↓ 次のPlanへ ``` Actで改善した内容は、次のPlanにつながります。 ## 確認問題（基本情報技術者試験対策） ISMSのPDCAにおいて、Planに該当する活動として最も適切なものはどれか。 - ア. 情報セキュリティ対策の運用を行う - イ. 実施した対策の有効性をレビューする - ウ. 発見した問題に対する改善策を実施する - エ. 情報資産に対するリスクを特定・分析・評価する
▶ クリックして答えと解説を見る（ここを開く） **正解：エ** リスクアセスメントは、これから必要な対策を決めるためにリスクを特定・分析・評価する活動なので、Planに該当します。 - アはDoです。 - イはCheckです。 - ウはActです。 「評価」という言葉だけでCheckと判断せず、**実施前のリスク評価なのか、実施後の結果評価なのか**を確認することがポイントです。
## まとめ（試験直前用） - Plan：リスクアセスメント、方針・対策の計画 - Do：対策の実施、運用 - Check：監視、点検、レビュー、実施結果の評価 - Act：是正、見直し、改善 - **リスクアセスメントは「評価」でもPlan** - **改善策の実施は「実施」でもAct** - 単語だけでなく、「実施前・実施中・実施後・改善」のどこかで判断する