PDCAサイクル運用とは
PDCAサイクル運用とは、「Plan（計画）」「Do（実行）」「Check（評価）」「Act（改善）」の4つのプロセスを繰り返し行うことで、セキュリティ管理体制や業務の質を段階的に、かつ継続的に向上させていく手法です。情報セキュリティの脅威は常に変化し続けるため、一度対策を立てて終わりにするのではなく、このサイクルを何度もぐるぐると回し続けることで、常に最新かつ最適な状態にアップデートしていくことが求められます。
PDCAのそれぞれのステップは以下の通りです。
- Plan：セキュリティの方針を決め、対策の計画を立てる。
- Do：計画に基づいて、システムの導入や教育を実行する。
- Check：実施した対策の効果や、ルールが守られているかを評価・点検する。
- Act：見つかった課題を解決するための改善策を打ち出す。
具体例
標的型メール攻撃への対策をPDCAサイクルで実施する例です。
- Plan：「怪しいメールのリンクをクリックしない」という目標を掲げ、不審メールの訓練計画を立てます。
- Do：全社員に対して模擬の不審メールを送信し、クリック率を調査します。
- Check：結果を集計したところ、一部の部署でクリック率が高かったことが判明します。
- Act：クリック率が高かった部署向けに、追加のセキュリティ教育や解説セミナーを行います。
もう少し詳しく
PDCAサイクルは、品質管理の専門家であるデミング博士らによって提唱されたマネジメント手法であり、情報セキュリティ分野においてもISMS（情報セキュリティマネジメントシステム）の運用原則として強く採用されています。セキュリティにおけるPDCAは、単に「計画を立てて実行する」だけの単発の行動ではなく、螺旋階段を上るように「サイクルを回すたびに組織のセキュリティ水準を高めていく」継続的改善（Continuous Improvement）が目的です。日々新しく生まれる脆弱性や、攻撃者の手口の巧妙化に対し、過去に定めたルール（Plan）が今も有効であるかを定期的に評価（Check）し、見つかった乖離や欠陥を是正（Act）していくことが求められます。特に「Check」の段階では、ログの分析やセキュリティ機器のアラートチェックだけでなく、独立した視点で行われる「内部監査」や「マネジメントレビュー（経営陣による見直し）」が極めて重要な意味を持ちます。
試験でのポイント
試験問題では、PDCAサイクルの各プロセス（Plan, Do, Check, Act）に、どのような具体的なセキュリティ活動が該当するのかをマッピングさせる問題が頻出します。以下を確実に整理しておきましょう。
・Plan：情報セキュリティポリシーの策定、リスク評価の実施、年間活動計画の作成。
・Do：ポリシーに沿ったセキュリティ対策の実施、社員向けのセキュリティ教育の実施、システムの導入・運用。
・Check：セキュリティルールの遵守状況の点検、ログの監査、内部監査の実施、セキュリティインシデントの集計。
・Act：監査結果を踏まえたルールの改定、対策基準の見直し、経営陣への報告とそれに基づく改善指示。
特に「内部監査」が「Check」プロセスに属すること、そして監査結果を受けて「ルールを見直す・改善する」ことが「Act」に属することを混同しないよう注意してください。
関連する用語
PDCAサイクル運用と密接に関わる用語には、セキュリティ体制を点検・監査する「内部監査」、ISMSの規格である「ISO/IEC 27001」、そしてインシデントに対応するための社内組織である「CSIRT」があります。