ビジネス プロセスの Plan-Do-Check-Act サイクルにおける「チェック」に適用される 2 つのフレーズは次のとおりです。
C. トレーニングの検証
F. 監査プロセス
C . このフレーズはPDCAサイクルにおける「確認」に当てはまります。これは、「実行」フェーズで実施された研修活動の有効性を測定・評価することを含むためです。研修は、ISO 27001:20221の7.2項で要求されている情報セキュリティの意識、教育、および能力の重要な側面です。研修の検証は、組織がスタッフが情報セキュリティに関する役割と責任を遂行するために必要な知識、スキル、および行動を習得しているかどうかを評価するのに役立ちます。また、研修の検証は、組織が研修プログラムにおけるギャップや弱点を特定し、改善策を計画するのにも役立ちます。
F . このフレーズはPDCAサイクルの「確認」に当てはまります。これは、「実行」フェーズで実施されたプロセスのパフォーマンスと適合性を調査・検討することが含まれるためです。監査とは、客観的な証拠を入手し、それを評価して監査基準がどの程度満たされているかを判断するための、体系的かつ独立した文書化されたプロセスです2。監査プロセスは、組織が情報セキュリティの目的と要件が満たされているかどうか、情報セキュリティ管理策が有効かつ効率的かどうか、そして情報セキュリティリスクが適切に管理されているかどうかを検証するのに役立ちます。また、監査プロセスは、組織が不適合や改善の機会を特定し、是正措置や予防措置を計画するのにも役立ちます。
参照：
1: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、第7.2項 2: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン、第3.2項