ISMS内部監査の指摘事項

ISMS内部監査における「指摘事項」とは、組織のルール（規定や手順）やISMSの規格要求事項に対して違反している、または不適合・不備がある状態のことです。 ア：定められた手順に従って許可しているため、適切に運用されています。 イ：事故発生時の報告プロセスが規定通りに機能しているため、運用ルールは遵守されています。 ウ：セキュリティ対策ソフトが正常に機能し、脅威を駆除できているため適切な状態です。 エ：不適合（指摘事項）です。 リスクアセスメントは、「あらかじめ定められたリスク受容基準」と見込んで評価を行う必要があります。評価を実施した後に基準を決めることは、結果に合わせて基準を都合良く変更できてしまうため規格の要求事項に違反しています。

JIS Q 27001:2014 (情報セキュリティマネジメントシステムー要求事項)に基づいて ISMS 内部監査を行った結果として判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきものはどれか。

出典令和4年度 秋期 高度情報処理技術者試験 午前Ⅰ 問21
ア
USBメモリの使用を、定められた手順に従って許可していた。
イ
個人情報の誤廃棄事故を主務官庁などに、規定されたとおりに報告していた。
ウ
マルウェアスキャンでスパイウェアが検知され、駆除されていた。
エ
リスクアセスメントを実施した後に、リスク受容基準を決めていた。