ISMSの内部監査は何を基準に、どう実施するのか
ITパスポート試験 令和7年度 問59 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
ISMSにおける内部監査に関する記述のうち，適切なものはどれか。
- ア
JIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく，ISMS活動の組織に対する有効性も判定する。
- イ
JIS Q 27001の要求事項ではなく，組織自体が規定した要求事項を監査基準とする。
- ウ
内部監査の実施のためのプログラムを確立するときには，前回の内部監査の結果は考慮しない。
- エ
不定期かつ抜き打ちでの実施を原則とする。
会話形式の解説
講師今回はISMS、つまり情報セキュリティマネジメントシステムの内部監査がテーマです。内部監査で何を確かめるのか、何を基準にするのか、どう計画して実施するのか。この3点を意識して選択肢を見てください。
受験者監査というと、ルールどおりにできているかをチェックするものだと思っていました。それ以外にも確認することがあるのですか。
講師あります。確認することは2つです。1つ目は規格や組織のルールに合っているかどうかで、これを適合性といいます。2つ目はISMSが実際に役立つ形で実施・維持されているかどうかで、こちらは有効性といいます。
受験者そうすると、適合性だけでなく有効性も判定するという選択肢が当てはまりそうです。監査基準をJIS Q 27001と組織が決めた要求事項で定めるという部分も、合っていますか。
講師合っています。JIS Q 27001は、国際規格ISO/IEC 27001に対応する日本産業規格です。監査基準には、この規格の要求事項と組織が独自に決めた要求事項の両方が含まれます。ですから、その選択肢が正解です。
受験者では、規格ではなく組織が決めた要求事項だけを基準にするという選択肢は、片方が抜けているので誤りということですね。
講師そのとおりです。組織独自の要求事項だけでは、規格に適合しているかどうかを確かめられません。「ではなく」と片方を外している言い方に気をつけてください。
受験者前回の内部監査の結果を考慮しないという選択肢も気になりました。毎回まっさらな状態で見たほうが公平そうにも思えるのですが。
講師そう感じるかもしれませんが、誤りです。監査プログラム、つまり監査の実施計画を立てるときは、関連するプロセスの重要性と前回までの監査結果を考慮します。前回の指摘事項や改善がどこまで進んだかは、次の監査で何を重点的に見るかを決める手がかりになります。
受験者残りは抜き打ちが原則という選択肢です。抜き打ちのほうが普段の様子が分かりそうなので、正しいようにも見えます。
講師そこがよくある引っかけです。内部監査は、計画に基づき、あらかじめ決めた間隔で定期的に行うのが原則です。抜き打ちは、特定のリスクが高まったときや疑わしい点があるときに、補う手段として行われる場合があるだけです。
受験者まとめると、内部監査では適合性と有効性の両方を判定し、基準には規格と組織の要求事項の両方を使い、前回の結果を踏まえて計画的・定期的に行う、ということですね。
講師よく整理できています。補足すると、内部監査はPDCAサイクルのCheck（評価）に当たる活動と整理されることが多く、その結果は次のAct（改善）につながります。継続的に改善していく仕組みだと考えれば、「前回の結果は考慮しない」「抜き打ちが原則」のような選択肢は外しやすくなります。
まとめ
ISMSの内部監査では、規格や組織のルールに合っているかという適合性と、ISMSが有効に実施・維持されているかという有効性の両方を判定します。監査基準には、JIS Q 27001の要求事項と組織が独自に決めた要求事項の両方が含まれます。監査プログラムを立てるときは、関連するプロセスの重要性と前回までの監査結果を考慮します。内部監査はあらかじめ決めた間隔で計画的・定期的に行うのが原則で、抜き打ちは補完的な手段にとどまります。
解答・解説
正解はアです
この問題のテーマ
ISMS（情報セキュリティマネジメントシステム）の内部監査について、何を目的に、どの基準で、どのように計画して実施するかを問う問題です。
解き方の考え方
まず、内部監査で確認するのは2つだと押さえます。1つは規格や組織のルールに合っているか（適合性）、もう1つはISMSが実際に役立つ形で運用・維持されているか（有効性）です。次に、監査基準にはJIS Q 27001の要求事項と組織が独自に決めた要求事項の両方が含まれる点を確認します。そのうえで、「前回の結果は考慮しない」「抜き打ちが原則」のように、計画的・継続的な改善という考え方に反する選択肢を外していくと、正解にたどり着けます。
選択肢ごとの解説
- ○ア JIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく，ISMS活動の組織に対する有効性も判定する。監査基準への適合性に加えて、ISMS活動の有効性も判定するという説明は適切です。内部監査では、ルールどおりに運用されているかだけでなく、ISMSが有効に実施・維持されているかも確認します。監査基準をJIS Q 27001の要求事項と組織が規定した要求事項で定める点も、規格の考え方と一致しています。
- ×イ JIS Q 27001の要求事項ではなく，組織自体が規定した要求事項を監査基準とする。JIS Q 27001ではなく組織が規定した要求事項だけを監査基準にするという説明は不適切です。監査基準には、JIS Q 27001の要求事項と組織独自の要求事項の両方が含まれます。組織独自の要求事項だけでは、規格への適合性を確かめられません。
- ×ウ 内部監査の実施のためのプログラムを確立するときには，前回の内部監査の結果は考慮しない。監査プログラムを確立するときに前回の内部監査の結果を考慮しないという説明は不適切です。プログラムの確立では、前回までの監査結果や関連するプロセスの重要性を考慮する必要があります。前回の指摘事項や改善の進み具合は、次の監査で確認すべき点や重点項目を決める手がかりになります。
- ×エ 不定期かつ抜き打ちでの実施を原則とする。不定期の抜き打ち実施を原則とするという説明は不適切です。内部監査は、計画に基づいてあらかじめ定めた間隔で定期的に行うのが原則です。抜き打ち監査は、特定のリスクが高まったときや疑わしい点があるときに、補完的な手段として行われる場合があるにすぎません。
補足
内部監査は、PDCAサイクルのCheck（評価）に当たる活動として整理されることが多く、その結果は改善（Act）につながります。そのため、前回の結果を踏まえて継続的に行う点が重要です。「抜き打ちのほうが実態が分かりそうだ」という直感に引っ張られやすいのですが、ISMSの内部監査では定期的な実施が原則で、抜き打ちは補完的な位置づけです。なお、JIS Q 27001は国際規格ISO/IEC 27001に対応する日本産業規格です。
POINT
- ISMSの内部監査では、規格・組織ルールへの「適合性」と、ISMSが有効に実施・維持されているかという「有効性」の両方を確認します。
- 監査基準には、JIS Q 27001の要求事項と組織自体が規定した要求事項の両方が含まれます。
- 監査プログラムを確立するときは、関連するプロセスの重要性と前回までの監査結果を考慮します。
- 内部監査は、あらかじめ定めた間隔で計画的・定期的に実施するのが原則です。