令和4年度秋期 情報処理安全確保支援士 午前Ⅰ 問21

ISMS監査では「事実」と「ルール違反」を切り分けよう

USBの利用を許可していたことや、事故報告があったこと、マルウェアを駆除したこと自体は、それだけで即アウトとは限らないよ。たとえるなら、火事が起きたあとに消火器を使ったこと自体は問題じゃない、という感じだね。問題なのは、リスクアセスメントをしたあとでリスク受容基準を決めていた点だよ。これは、テストを採点したあとに合格ラインを決めるようなもので、評価の前提を後から作ってしまっている。だから監査報告書には、この手順の順序がおかしいことを指摘事項として書くべきだよ。

この問題で問われていること

ISMSの内部監査では、単なる運用上の出来事と、マネジメントシステムの要求事項に合っていない不適合をきちんと見分けられるかがポイントだよ。

What Becomes an ISMS Audit Finding

an ISMS audit finding should target a requirement mismatch such as defining risk-acceptance criteria after completing the risk assessment

not every event is a finding\ncheck requirement conformance\nrisk criteria must precede evaluation\norder matters in ISMS

確認ポイント

• 要求事項不適合を見る。
• 手順の前後関係を確認する。
• 単なる事故報告実施と混同しない。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。USBメモリの使用を、定められた手順に従って許可しているので、合鍵を勝手に配ったのではなく、申請して管理簿に書いて渡したようなものだよ。ルール違反ではないから、監査報告書に『問題あり』として書く内容ではないよ。

選択肢イ

これは不正解だよ。事故を決められた窓口にきちんと報告しているので、例えるなら落とし物を見つけて交番に届けた状態だね。ルールどおり動けているから、監査で『問題あり』として書く内容ではないよ。

選択肢ウ

これは不正解だよ。スパイウェアが見つかったこと自体は気になるけれど、マルウェアスキャンで検知して駆除できているので、防犯カメラが泥棒を見つけて警備員が追い出したような状態だね。対策が機能しているため、この選択肢だけでは監査の指摘事項とは言えないよ。

選択肢エ（正解）

これは正解だよ。リスク受容基準は『どこまでの危険なら許せるか』という物差しなので、リスクを調べる前に決めておく必要があるよ。テストを採点した後で合格点を決めると公平じゃないのと同じで、後から基準を決めるのは監査で指摘すべき問題なんだ。