JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アUSBメモリの使用を、定められた手順に従って許可していた。
• イ個人情報の誤廃棄事故を主務官庁などに、規定されたとおりに報告していた。
• ウマルウェアスキャンでスパイウェアが検知され、駆除されていた。
• エリスクアセスメントを実施した後に、リスク受容基準を決めていた。

正解と解説

正解：エ リスクアセスメントを実施した後に、リスク受容基準を決めていた。

リスク受容基準は、リスクアセスメントの結果を評価するための物差しなので、アセスメントを始める前に定めておかなければなりません。順序が逆になると評価が恣意的になり得るため、規格の要求事項に適合していない状況として指摘の対象になります。

選択肢ごとの解説

• ア手順どおりに許可しており、適合した運用。
• イ規定どおり報告しており問題はない。
• ウ検知後に駆除されており、対策が機能している。
• エ正しい。受容基準はアセスメントの前に定めるべきで、順序が逆。

同じ分野の他の問題

• システム管理基準（令和5年）における，ユーザ受入テストに関する監査のチェックポイントとして，適切なものはどれか。2025年度 春期 午前 問60
• 販売管理システムにおいて、起票された受注伝票の入力が、漏れなく、かつ、重複することなく実施されていることを確かめる監査手…2019年度 秋期 午前 問60
• 事業継続計画（BCP）について監査を実施した結果、適切な状況と判断されるものはどれか。2022年度 春期 午前 問58
• アジャイル開発を対象とした監査の着眼点として、システム管理基準（平成30年）に照らして、適切なものはどれか。2021年度 秋期 午前 問58
• マスタファイル管理に関するシステム監査項目のうち、可用性に該当するものはどれか。2018年度 春期 午前 問60