令和4年度 秋期 応用情報技術者試験 午前 問58
マネジメント／システム監査JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
出典：令和4年度 秋期 応用情報技術者試験 午前 問58
- アUSB メモリの使用を，定められた手順に従って許可していた。
- イ個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
- ウマルウェアスキャンでスパイウェアが検知され，駆除されていた。
- エリスクアセスメントを実施した後に，リスク受容基準を決めていた。
正解：エ
解説
JIS Q 27001 では，リスク受容基準はリスクアセスメントを実施する前に（リスクアセスメントのプロセスを計画する段階で）確立しておくことが要求されています。アセスメント実施後に受容基準を決めるのは要求事項に反するため，指摘事項として監査報告書に記載すべきです。
選択肢ごとの解説
- ア誤り。定められた手順に従って USB メモリの使用を許可しているのは，規定どおりの運用であり指摘事項にはなりません。
- イ誤り。規定されたとおりに主務官庁へ報告しているのは適切な対応であり指摘事項にはなりません。
- ウ誤り。スパイウェアが検知され駆除されているのは，マルウェア対策が機能している状態であり指摘事項にはなりません。
- エ正しい。リスク受容基準はリスクアセスメントの実施前に定めておくべきものであり，実施後に決めていたのは不適合として指摘すべき事項です。