令和4年度 秋期 プロジェクトマネージャ試験 データベーススペシャリスト試験 エンベデッドシステムスペシャリスト試験 システム監査技術者試験 情報処理安全確保支援士試験 午前 I 問題 【共通】 問21
マネジメントシステム監査セキュリティ管理対象別の監査着眼点・指摘事項情報セキュリティリスクアセスメント・リスク対応
JIS Q 27001:2014 (情報セキュリティマネジメントシステム－要求事項) に基づいて ISMS内部監査を行った結果として判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
解答・解説
正解: エ. リスクアセスメントを実施した後に，リスク受容基準を決めていた。
JIS Q 27001:2014におけるISMS内部監査は、組織のISMSが規格の要求事項や組織自身が定めた要求事項に適合しているか、および有効に実施・維持されているかを確認するために行われます。監査人が指摘事項として報告書に記載すべきものは、規定や規格に違反している不適合な状況です。
JIS Q 27001:2014の箇条6.1.2（情報セキュリティリスクアセスメント）において、組織はリスクアセスメントを行うにあたり、「情報セキュリティのリスク受容基準を確立し、維持する」ことが求められています。つまり、リスク受容基準はリスクアセスメントを実施する前に定めておく必要があります。したがって、実施した「後」に基準を決めている状況は規格違反（不適合）となります。
各選択肢の解説
- ア: 誤り。USBメモリの使用が「定められた手順に従って」行われているため、ルール通り運用されており適切（適合）です。
- イ: 誤り。事故発生時の報告が「規定されたとおりに」行われているため、インシデント管理規定に従った適切な対応（適合）です。
- ウ: 誤り。マルウェアスキャンが正常に動作し、脅威が「駆除されていた」ため、セキュリティ対策が有効に機能しており適切（適合）です。
- エ: 正解。リスク受容基準はリスクアセスメントを実施する前に決定していなければならないため、この状況は規格の要求事項を満たしておらず、指摘事項（不適合）となります。