平成30年度 秋期 基本情報技術者試験 午前 問58
マネジメント／システム監査JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
出典：平成30年度 秋期 基本情報技術者試験 午前 問58
- アUSBメモリの使用を，定められた手順に従って許可していた。
- イ個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
- ウマルウェアスキャンでスパイウェアが検知され，駆除されていた。
- エリスクアセスメントを実施した後に，リスク受容基準を決めた。
正解：エ
解説
本来，リスク受容基準はリスクアセスメントを実施する前に定めておき，その基準に沿ってリスクを評価する必要があります。リスクアセスメントを実施した後にリスク受容基準を決めるという状況は，評価の基準があいまいなまま評価を行ったことになり，監査人が指摘すべき事項に当たります。他の選択肢は，いずれも規定どおりに運用されている状況であり，問題ありません。
選択肢ごとの解説
- ア誤り。定められた手順に従って許可されているので，問題のない状況です。
- イ誤り。規定されたとおりに報告されているので，問題のない状況です。
- ウ誤り。マルウェアが検知され適切に駆除されているので，むしろ正しく機能している状況です。
- エ正しい。リスク受容基準は本来リスクアセスメントの前に定めておくべきであり，実施後に決めるのは順序が不適切なため，指摘事項に当たります。