監査報告書に記載すべきものはどれか①

リスク受容基準の決定時期が遅いので指摘事項に該当します。 JIS Q 27001に基づくリスクマネジメントプロセスでは、リスクアセスメントを実施する前にリスク受容基準を確立することになっています。リスクアセスメントに含まれるリスク評価プロセスにおいて、リスク分析の結果とリスク受容基準を比較することになっているからです。 このため正解は「エ」です。 "資産の取扱いに関する手順は、組織が採用した情報分類体系に従って策定し、実施する"こととされているので問題ありません。 関係当局との適切な連絡体制を維持し、"法が破られたと疑われる場合に、特定した情報セキュリティインシデントをいかにして時機を失せずに報告するかの手順を備える"こととされているので問題ありません。 "組織は、不適合が発生した場合、不適合の是正のための処置を取る"こととされているので問題ありません。

JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。

出典平成30年度 秋期 基本情報技術者試験 午前 問58
ア
USBメモリの使用を，定められた手順に従って許可していた。
イ
個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
ウ
マルウェアスキャンでスパイウェアが検知され，駆除されていた。
エ
リスクアセスメントを実施した後に，リスク受容基準を決めた。