令和4年度 秋期 応用情報技術者試験 午前 問58
マネジメントシステム監査セキュリティ管理対象別の監査着眼点・指摘事項情報セキュリティリスクアセスメント・リスク対応
JIS Q 27001:2014（情報セキュリティマネジメントシステム―要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
解答・解説
正解: エ. リスクアセスメントを実施した後に，リスク受容基準を決めていた。
ISMS（情報セキュリティマネジメントシステム）内部監査における指摘事項とは、JIS Q 27001の要求事項や組織が定めたルールを満たしていない状態（不適合）を指します。
JIS Q 27001:2014では、情報セキュリティリスクアセスメントのプロセスを確立・実施するにあたり、リスクアセスメントを行う前に「リスクの受容基準」を確立することが要求されています（箇条6.1.2）。リスク受容基準とは、「どの程度のリスクなら許容できるか」の判断基準のことです。これをリスクアセスメントの後に決めることは、評価結果に合わせて基準を都合よく変更できてしまうことにつながり、規格への不適合となります。したがって、これが監査の指摘事項となります。
各選択肢の解説
ア：USBメモリの使用を，定められた手順に従って許可していた。
組織の定めた手順を正しく遵守している状態であるため、不適合（指摘事項）には該当しません。イ：個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
インシデント発生時の対応として、組織の規定どおりに報告プロセスが実行されているため、不適合には該当しません。ウ：マルウェアスキャンでスパイウェアが検知され，駆除されていた。
導入されているセキュリティ対策が正常に機能し、脅威を適切に排除できている状態であるため、不適合には該当しません。エ：リスクアセスメントを実施した後に，リスク受容基準を決めていた。
正解です。リスク受容基準はリスクアセスメントを実施する前に決定しておく必要があるため、規格の要求事項違反（指摘事項）となります。