PDCAモデルに基づいてISMSを運用している組織の活動において，次のような調査報告があった。
この調査はPDCAモデルのどのプロセスで実施されるか。
社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。
しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
正答3
解説
正解は3です。
ISMS（情報セキュリティマネジメントシステム）のPDCAのうち、調査報告がどのプロセスで行われるかを問う問題です。
報告では、導入済みの対策の効果を確認し、送信側の規定がないという課題を指摘しています。
【選択肢別解説】
1：× P（Plan）は、リスクを評価して方針や対策の計画を立てるプロセスです。
導入済みの対策の効果を調べる段階ではありません。
2：× D（Do）は、計画に沿って対策を導入し運用するプロセスです。
運用状況を評価して課題を指摘するのは次の段階です。
3：○ C（Check）は、運用中の対策が有効かを監視・測定し、評価するプロセスです。
受信対策の効果の確認と、送信対策の不備の指摘は、Checkの活動に当たります。
4：× A（Act）は、評価の結果を受けて是正や改善を行うプロセスです。
報告は課題の指摘にとどまり、改善を実施していないのでActではありません。
【ポイント】
「効果を上げている」「リスクがある」といった評価や監査の結果はCheckです。
その指摘を受けて送信の規定を作るといった処置がActになります。