JIS Q 27001に基づくISMS内部監査における適切な実施体制

JIS Q 27001（ISMS規格）において、組織はリスクアセスメント（リスクの特定・分析・評価）を実施する 前 に、どのような基準でリスクを受容（許容）するかを定めた「 リスク受容基準 」をあらかじめ策定しておかなければなりません。リスクアセスメントを実施した後に受容基準を決定すると、特定されたリスクに合わせて都合よく基準を後付けで歪めてしまうおそれがあり、規格要求事項に反します。したがって、監査報告書の指摘事項とすべき状況は エ です。 情報セキュリティ手順に則り、正規の承認プロセスを経てUSBメモリの使用を許可しているため、適切な運用であり指摘事項には該当しません。 事故発生時に定められた規程および法令に従って監督官庁等へ適正に報告を行っているため、適切な運用です。 マルウェア対策ソフトが想定どおり機能し、検知および駆除が正しく行われているため指摘事項には該当しません。

JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。

出典令和4年度 秋期 応用情報技術者試験 午前 問58
ア
USBメモリの使用を，定められた手順に従って許可していた。
イ
個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
ウ
マルウェアスキャンでスパイウェアが検知され，駆除されていた。
エ
リスクアセスメントを実施した後に，リスク受容基準を決めた。