ISMSにおける内部監査に関する記述のうち、適切なものはどれか。

選択肢

• アJIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく、ISMS活動の組織に対する有効性も判定する。
• イJIS Q 27001の要求事項ではなく、組織自体が規定した要求事項を監査基準とする。
• ウ内部監査の実施のためのプログラムを確立するときには、前回の内部監査の結果は考慮しない。
• エ不定期かつ抜き打ちでの実施を原則とする。

正解と解説

正解：ア JIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく、ISMS活動の組織に対する有効性も判定する。

ISMSの内部監査では、規格の要求事項と組織が自ら定めた要求事項の双方を監査基準として適合性を確かめるとともに、ISMSが組織にとって有効に機能しているかも判定します。監査プログラムを組む際は、前回の監査結果や対象プロセスの重要性を考慮し、計画的に実施することが求められます。

選択肢ごとの解説

• ア適合性と有効性の双方を判定するという、内部監査の目的どおりです。
• イ規格の要求事項も監査基準に含めなければなりません。
• ウ前回の監査結果はプログラム策定時に考慮すべき事項です。
• エ内部監査は計画に基づいて実施するもので、抜き打ちが原則ではありません。

同じ分野の他の問題

• ISMSの活動に関する記述として、最も適切なものはどれか。2026年度 秋期 問100
• 情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき…2026年度 秋期 問94
• 次のISMSにおける実施項目のうち、最初に行うものはどれか。2026年度 秋期 問93
• 企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において、経営者に求められる役割として、…2026年度 秋期 問79
• ISMSにおける情報セキュリティインシデントの管理に関する記述のうち、適切なものはどれか。2026年度 秋期 問70