令和4年度 秋期 午前 問58

✓ これが正解エリスクアセスメントを実施した後に，リスク受容基準を決めていた。

解説

基準を後から決めた点が不適合です。

設問は、ISMS 内部監査で判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものを選ばせています。ここで押さえるのは、監査人が書くのは基準に照らして合っていないことだという一点です。悪い出来事が書かれている記述を探す問題ではなく、規定どおりに運用できていれば、たとえ事故が起きていても指摘の対象にはなりません。正解は、リスクアセスメントを実施した後に、リスク受容基準を決めていたという状況です。JIS Q 27001 はリスク基準を確立し維持することを求めており、その確立の時点はリスクアセスメントのプロセスを定義するときです。順序が入れ替わると、出てきた結果を見てから基準を決められることになり、都合の悪いものを受容範囲だと後付けで正当化できてしまいます。これは監査人の主観ではなく事実として順序が違うので、規格に合っていないと書けます。

ほかの選択肢はなぜ違うのか

• アUSB メモリの使用を，定められた手順に…：USB メモリの使用を、定められた手順に従って許可していたという状況です。持ち出せる媒体を使うこと自体が禁じられているわけではなく、手順が用意され、そのとおりに運用できているなら合っている状態です。
• イ個人情報の誤廃棄事故を主務官庁などに，規…：個人情報の誤廃棄事故を主務官庁などに、規定されたとおりに報告していたという状況です。困った出来事は起きていますが、監査人が見るのはその後の対応が定めに沿っているかであり、報告できていることはむしろ仕組みが働いた証拠です。
• ウマルウェアスキャンでスパイウェアが検知さ…：マルウェアスキャンでスパイウェアが検知され、駆除されていたという状況です。見つけて取り除けたということは、備えた手立てがまさに有効に働いた場面であり、書き留めて是正を促すべきずれは生じていません。