JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アUSBメモリの使用を、定められた手順に従って許可していた。
• イ個人情報の誤廃棄事故を主務官庁などに、規定されたとおりに報告していた。
• ウマルウェアスキャンでスパイウェアが検知され、駆除されていた。
• エリスクアセスメントを実施した後に、リスク受容基準を決めていた。

正解と解説

正解：エ リスクアセスメントを実施した後に、リスク受容基準を決めていた。

リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。

選択肢ごとの解説

• ア定められた手順に従って許可しているので、規定どおりの運用であり指摘には当たらない。
• イ規定どおりに報告できており、手続が機能している例なので指摘には当たらない。
• ウ検知して駆除されているのは対策が有効に働いた例であり、指摘には当たらない。
• エ正解。リスク受容基準はアセスメントの前に定めるべきで、順序が逆転しており指摘事項となる。

同じ分野の他の問題

• システム監査基準（令和5年）に従い、監査目的に基づいて、ガバナンス、マネジメント、コントロールの視点から検証・評価を行う…2025年度 秋期 問22
• システム監査基準（令和5年）において、システム監査で使用される用語の説明として、適切なものはどれか。2025年度 秋期 問21
• システム監査における“監査手続”として、最も適切なものはどれか。2025年度 春期 問22
• システム監査におけるウォークスルー法の説明として、適切なものはどれか。2025年度 春期 問21
• システム監査基準（令和5年）におけるフォローアップの説明として、適切なものはどれか。2024年度 秋期 問22