JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アUSBメモリの使用を，定められた手順に従って許可していた。
• イ個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
• ウマルウェアスキャンでスパイウェアが検知され，駆除されていた。
• エリスクアセスメントを実施した後に，リスク受容基準を決めた。

正解と解説

正解：エ リスクアセスメントを実施した後に，リスク受容基準を決めた。

ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

選択肢ごとの解説

• ア定められた手順に従った許可であり、統制が機能している状態。
• イ規定どおりの報告であり、問題のない運用。
• ウ検知して駆除できており、対策が有効に働いている。
• エリスク基準は事前に定めるべきで、順序が逆になっており指摘対象。

同じ分野の他の問題

• サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って…2025年度 公開問題 科目A 問15
• A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画して…2023年度 公開問題 科目A 問14
• 情報セキュリティ監査において、可用性を確認するチェック項目はどれか。2018年度 春期 午前 問60
• システムテストの監査におけるチェックポイントのうち、最も適切なものはどれか。2019年度 秋期 午前 問58
• A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況につい…2019年度 春期 午前 問60