システム監査・内部統制｜平成30年度 春期 情報セキュリティマネジメント試験 午前 問38

• 監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。
• 監査責任者は代表取締役が任命しなければならない。
• 監査範囲はJIS Q 27001に規定された管理策に限定しなければならない。
• ✓ これが正解監査プログラムは前回までの監査結果を考慮しなければならない。

解説

監査プログラムは前回までの監査結果を考慮します。

内部監査は、決めたとおりにISMSが運用され、ねらいどおりに働いているかを、組織が自分で確かめる活動です。設問が引くJIS Q 27001:2014にもとづく運用では、いつ、どこを、どのように監査するかという監査プログラムを計画するとき、前回までの監査の結果を考慮することが順守すべき要求事項として問われています。前に指摘が出たところが直っているか、同じ箇所で問題を繰り返していないかを踏まえなければ、毎回同じ手順をなぞるだけの形だけの監査になってしまうからです。限られた時間をどこに使うかを、これまでの結果にもとづいて決めるという考え方です。残りの三つは、監査員の資格、任命者、監査の範囲について、規格が置いていない定めを述べているので、それぞれ別の理由で外れます。

ほかの選択肢はなぜ違うのか

• 監査員に特定の研修の修了者を含めることを求める定めは置かれていません。監査する人について問われるのは、対象から独立して客観的に見られる立場かどうかです。
• 責任者を誰が任命するかを、代表取締役に限って指定する定めはありません。任命者を一律に決めることではなく、監査が公正に行える体制になっているかどうかが問われます。
• 監査で見る範囲を管理策だけに狭めるという決まりもありません。運用の手順や記録まで含めて、仕組み全体が計画どおりに動いているかを確かめるのが内部監査の役割です。

この問題に関係する言葉

• 内部監査組織が自分たちの仕組みを、業務の担当から離れた立場の者が点検すること。結果は改善のための見直しに使われます。
• ISMS情報を守る取り組みを、決めて実行し点検して直す流れとして続ける仕組み。個々の対策ではなく、その回し方のことです。
• JIS Q 27001情報セキュリティの仕組みに必要な要求事項を定めた規格。本文の要求事項は全て適用が必要で、附属書Aの管理策は理由があれば除外できます。
• 監査プログラム一定期間に行う監査の計画全体のこと。前回までの監査結果も考慮して、対象や頻度、方法を組み立てることが求められます。

出題当時の情報です（現在との違い）

設問が示す JIS Q 27001:2014 は2023年版に置き換わっています。正解は変わらないとみられます。

出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38

この問題を演習で解く

同じ単元をまとめて解くならシステム監査・内部統制へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）