令和7年度 ITパスポート試験 公開問題 問59
ISMSにおける内部監査に関する記述のうち，適切なものはどれか。
解答・解説
正解: ア. JIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく，ISMS活動の組織に対する有効性も判定する。
ISMS（情報セキュリティマネジメントシステム） における内部監査は、組織が構築・運用しているISMSが適切に機能しているかを確認するために実施されます。JIS Q 27001（ISO/IEC 27001）の要求事項に基づいて、以下の目的で行われます。
- 適合性の判定：ISMSが、JIS Q 27001の要求事項、および組織自身が定めた情報セキュリティの要求事項に適合しているかを確認する
- 有効性の判定：ISMSが有効に実施され、維持されているかを確認する
したがって、適合性だけでなく有効性も判定の対象となります。
各選択肢の解説
- ア：正解です。内部監査では、JIS Q 27001の要求事項と組織独自の要求事項への適合性に加え、ISMS活動の有効性も判定します。
- イ：監査基準には、組織自体が規定した要求事項だけでなく、JIS Q 27001の要求事項 も含まれます。どちらか一方ではなく、両方を満たす必要があります。
- ウ：内部監査のプログラム（計画）を策定する際は、監査対象となるプロセスの重要性とともに、前回の監査結果 を考慮しなければなりません。
- エ：内部監査は、不定期や抜き打ちではなく、あらかじめ定められた間隔（定期的） で実施することが要求されています。