平成30年度 春期 情報セキュリティマネジメント試験 午前 問38
マネジメント／システム監査JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，内部監査について順守すべき要求事項はどれか。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問38
- ア監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。
- イ監査責任者は代表取締役が任命しなければならない。
- ウ監査範囲はJIS Q 27001に規定された管理策に限定しなければならない。
- エ監査プログラムは前回までの監査結果を考慮しなければならない。
正解：エ
解説
JIS Q 27001では、内部監査を実施するに当たり、監査プログラムの計画に際して、関連するプロセスの重要性及び前回までの監査の結果を考慮しなければならないと定められています。
選択肢ごとの解説
- ア誤り。監査員にISMS認証機関が認定する研修の修了者を含めることは求められていません。
- イ誤り。監査責任者を代表取締役が任命しなければならないという規定はありません。
- ウ誤り。監査範囲をJIS Q 27001の管理策に限定しなければならないという規定はなく，組織のISMSの適用範囲全体が対象となり得ます。
- エ正しい。監査プログラムは，前回までの監査結果を考慮して計画しなければなりません。