ISMS内部監査で指摘する手順違反は何か
基本情報技術者試験 平成30年度秋期 午前 問58 ／ システム監査 › システム監査
過去問にチャレンジ
JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
- ア
USBメモリの使用を，定められた手順に従って許可していた。
- イ
個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
- ウ
マルウェアスキャンでスパイウェアが検知され，駆除されていた。
- エ
リスクアセスメントを実施した後に，リスク受容基準を決めた。
会話形式の解説
講師内部監査では、出来事そのものと、手順や規格への不適合を分けて考えます。まず、何が起きたかだけで指摘を決められるでしょうか。
受験者個人情報の誤廃棄は重大そうなので、事故が起きた時点で指摘すると思いました。
講師この問題で示されている報告は、規定どおりに行われています。事故の発生と、報告手順に不適合があるかは別に判断します。
受験者では、USBメモリの使用も、使った事実ではなく許可の手順を確認するのですね。
講師そのとおりです。定められた手順に従って許可されているので、この記述からは指摘すべき手順違反を読み取れません。
受験者スパイウェアが見つかった場合も、検知された事実だけでは指摘できませんか。
講師はい。スキャンで検知され、駆除されています。検知されたことだけをもって管理上の不適合とは判断できません。
受験者残るリスクアセスメントは、実施後にリスク受容基準を決めた順序が気になります。
講師そこが指摘事項です。リスク受容基準は評価結果を判断するための基準なので、リスクアセスメントより先に定める必要があります。
受験者後から基準を決めると、評価した時点で何と照らして判断したのか分からなくなるのですね。
講師その理解で合っています。基準を決める順序が規格の要求に反するため、監査報告書で指摘すべき状況はリスク受容基準を実施後に決めたものです。
まとめ
内部監査では、事故やマルウェアの検知という出来事だけで指摘事項を決めず、手順や規格の要求に沿っているかを確認します。USBメモリの許可と誤廃棄事故の報告は、それぞれ定められた手順どおりに行われています。スパイウェアも検知され、駆除されています。リスク受容基準はリスクアセスメントに先立って定める必要があるため、実施後に決めた状況が指摘事項です。
解答・解説
正解はエです
この問題のテーマ
ISMS内部監査で、規格に反する手順を指摘事項として見分けられるかを問う問題です。
解き方の考え方
各状況について、事故やマルウェアが発生したという事実だけで判断せず、定められた手順や規格の要求に沿って処理されたかを確認します。特にリスクアセスメントでは、判断に使う基準を決めた時点に注目します。
選択肢ごとの解説
- ×ア USBメモリの使用を，定められた手順に従って許可していた。USBメモリの使用は、定められた手順に従って許可されています。この記述からは、使用許可の手順に反した状況は読み取れないため、指摘事項には当たりません。
- ×イ 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。個人情報の誤廃棄事故について、報告は規定どおりに行われています。事故が起きた事実と、報告手順に不適合があったかどうかは分けて判断するため、この報告は指摘対象ではありません。
- ×ウ マルウェアスキャンでスパイウェアが検知され，駆除されていた。スパイウェアはスキャンで検知され、駆除されています。検知されたことだけをもって管理上の不適合とは判断できず、この記述は指摘事項に当たりません。
- ○エ リスクアセスメントを実施した後に，リスク受容基準を決めた。リスク受容基準は、リスクアセスメントに先立って定める必要があります。この選択肢では実施後に基準を決めており、手順の順序が規格の要求に反するため、監査報告書で指摘すべきです。
POINT
- 内部監査では、起きた出来事と、要求事項や定められた手順への適合を区別して確認します。
- リスク受容基準は、評価の結果を判断するための基準です。
- 基準を後から決めると、評価時に何と照らして判断したかが明確になりません。