業務分析と品質管理手法｜パレート図・ABC分析・特性要因図・管理図の読み解き方

業務の問題を整理するでは、件数・比率・要因の整理から、改善の優先順位を考えます。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. 代表的な品質管理手法（QC7つ道具）の役割一覧

分析手法	グラフ・図の形状と特徴	主な用途・セキュリティでの活用例
パレート図	項目別件数を「棒グラフ」で降順に並べ、累積比率を「折れ線グラフ」で重ね合わせた複合グラフ	インシデント原因や脆弱性のうち、件数や金額の大きい項目と累積比率を確認する。80対20は全データで成立する固定則ではない。
特性要因図（魚の骨図）	結果（特性）に対し、考えられる原因（要因）を「人・技術・環境・手順」などの大骨・中骨・小骨に体系的に展開した図	「マルウェア感染が拡大した原因」を組織・人的・技術的観点から多角的にブレインストーミングして洗い出す。
散布図	2つの変数を縦軸と横軸にとり、データを点でプロットしたグラフ	「パスワードの長さ」と「解読にかかる時間」など、2者間の相関関係（正・負・無相関）を把握する。
管理図	中心線（CL）と上方/下方管理限界線（UCL/LCL）を引き、時系列でデータをプロットしたグラフ	サーバの不正ログイン失敗回数やトラフィックが管理限界線を超えた「異常値・外れ値」を早期検知する。
ヒストグラム	データの散らばり（分布）を区間ごとの度数（柱）で表した柱状図	通信レスポンス時間のばらつきや、社員のテスト得点分布を確認する。

2. パレート図とABC分析の完全理解

パレートの法則（80:20の法則）に基づき、全体に対する影響度の大きさに応じて重要度を3つに分類して管理する手法を「ABC分析（重点分析）」と呼びます。

グループ	累積構成比の範囲	管理方針（リソース配分）
Aグループ（最重要項目）	累積構成比 0% 〜 70〜80%	全体の重要度の大部分を占めるため、予算や人員を集中的に投じて最優先で対策する。
Bグループ（中重要項目）	累積構成比 70〜80% 〜 90%	通常の管理基準に従って標準的な対策を維持する。
Cグループ（低重要項目）	累積構成比 90% 〜 100%	集計した指標への寄与が小さい群。重大なリスクや法令上の必要な対応まで省略しない。

3. 科目B形式実戦シナリオ演習

演習1：パレート図を用いたセキュリティインシデントの重点対策選定

〔背景〕精密部品メーカーS社では、過去1年間に社内で報告された情報セキュリティヒヤリハット事案（計200件）を原因別に集計し、パレート図を作成した。

順位	発生原因	発生件数	構成比	累積構成比
1	メールの誤送信（宛先間違い・Bcc忘れ）	90件	45.0%	45.0%
2	パスワードのメモ貼り付け・安易な設定	50件	25.0%	70.0%
3	離席時のPC画面ロック忘れ	30件	15.0%	85.0%
4	私物USBメモリの無断接続	18件	9.0%	94.0%
5	その他軽微な不備	12件	6.0%	100.0%

〔設問〕ABC分析において累積構成比70%以下を「最重点管理項目（Aグループ）」と定義する場合、S社が最優先で集中的な教育とシステム対策を投ずべき原因の組み合わせとして、正しいものはどれか。

ア：「メールの誤送信」および「パスワードのメモ貼り付け・安易な設定」の2項目
イ：「その他軽微な不備」のみ
ウ：発生件数が最も少ない「私物USBメモリの無断接続」のみ
エ：全5項目に対して均等に20%ずつ予算を配分する

【解答と解説】

正解：ア

アが正解です。設問の件数では上位2項目が90＋50＝140件、全200件の70％を占めています。優先して改善する対象を選ぶ根拠になりますが、対策しただけで70％が必ずなくなるという予測ではありません。被害の大きさや対策の実行可能性も確認します。

演習2：特性要因図を用いたインシデントの要因分解

〔背景〕T社では、社員がフィッシング詐欺メールに記載されたリンクをクリックし、社内ポータルの認証情報を入力してしまったインシデントが発生した。再発防止チームは「フィッシング被害の発生」を魚の頭（特性）とし、特性要因図を作成して要因を整理した。

〔設問〕特性要因図において「人（作業者）」の要因として分類されるものとして、最も適切なものはどれか。

ア：メールサーバにSPF/DKIM/DMARCが設定されていなかった。
イ：多要素認証（MFA）が導入されておらず、パスワード単体でログイン可能だった。
ウ：社員が「送信元アドレスの不審なドメイン名」を確認する習慣やリテラシーを持っていなかった。
エ：EDRソフトウェアのシグネチャ更新が停止していた。

【解答と解説】

正解：ウ

解説：特性要因図の「4M（Man:人, Machine:機械・設備, Method:方法, Material:材料）」において、社員のスキル不足、教育不足、確認意識の欠如は「人（Man）」の要因に該当します。選択肢ア、イ、エはシステムの技術的設定やセキュリティ機器に関するものであり、「機械・設備（Machine）」または「技術的対策」に分類されます。

4. まとめと試験直前チェックリスト

パレート図は項目別の棒と累積比率の折れ線で重要な項目を確認する。
ABC分析の区切りは目的に応じて決める。件数が少なくても重大な事故を軽視しない。
特性要因図は原因の候補を整理する。図に載せたことだけで原因と確定しない。
管理限界と製品の規格・許容限界は別。異常な傾向も確認する。
散布図の相関だけで因果関係を証明したと判断しない。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1