情報セキュリティマネジメント 平成30年度 春期 午前 問38

✓ これが正解エ 監査プログラムは前回までの監査結果を考慮しなければならない。

解説

監査プログラムは前回までの監査結果を考慮します。

内部監査は、決めたとおりにISMSが運用され、ねらいどおりに働いているかを、組織が自分で確かめる活動です。設問が引くJIS Q 27001:2014にもとづく運用では、いつ、どこを、どのように監査するかという監査プログラムを計画するとき、前回までの監査の結果を考慮することが要求事項として定められています。前に指摘が出たところが直っているか、同じ箇所で問題を繰り返していないかを踏まえなければ、毎回同じ手順をなぞるだけの形だけの監査になってしまうからです。限られた時間をどこに使うかを、これまでの結果にもとづいて決めるという考え方です。残りの三つは、監査員の資格、任命者、監査の範囲について、規格が置いていない定めを述べているので、それぞれ別の理由で外れます。

ほかの選択肢の解説

• ア 監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。：監査員に特定の研修の修了者を含めることを求める定めは置かれていません。監査する人について問われるのは、対象から独立して客観的に見られる立場かどうかです。
• イ 監査責任者は代表取締役が任命しなければならない。：責任者を誰が任命するかを、代表取締役に限って指定する定めはありません。任命者を一律に決めることではなく、監査が公正に行える体制になっているかどうかが問われます。
• ウ 監査範囲はJIS Q 27001に規定された管理策に限定しなければならない。：監査で見る範囲を管理策だけに狭めるという決まりもありません。運用の手順や記録まで含めて、仕組み全体が計画どおりに動いているかを確かめるのが内部監査の役割です。