JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。

選択肢

• アUSBメモリの使用を，定められた手順に従って許可していた。
• イ個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
• ウマルウェアスキャンでスパイウェアが検知され，駆除されていた。
• エリスクアセスメントを実施した後に，リスク受容基準を決めた。

正解と解説

正解：エ リスクアセスメントを実施した後に，リスク受容基準を決めた。

JIS Q 27001では、リスクアセスメントを行う前にリスク受容基準を含むリスク基準を確立しておくことが要求されている。順序が逆になると、算定結果を見てから受容の線引きを決めることになり、判断の客観性が損なわれる。したがって、アセスメント実施後に受容基準を決めていた状況は要求事項からの逸脱であり、指摘事項として記載すべきである。

選択肢ごとの解説

• ア定められた手順どおりに許可していれば、逸脱ではない。
• イ規定どおりに報告できているので、むしろ運用が機能している例である。
• ウ検知後に駆除されており、対策が有効に働いた状態である。
• エ正しい。リスク受容基準はアセスメントに先立って定めておかねばならない。

同じ分野の他の問題

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問1
• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリ…2019年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識…2017年度 春期 午前 問11