シナリオ6：Cyber​​ ACryptは、マルウェア対策、デバイスセキュリティ、資産ライフサイクル管理、デバイス暗号化を提供することでエンドポイント保護を実現するサイバーセキュリティ企業です。同社は、ISO/IEC 27001に準拠したISMSの検証と、サイバーセキュリティにおける卓越性への取り組みを示すため、任命された監査チームリーダーであるジョンが主導する綿密な監査プロセスを受けました。
監査の委任を受諾すると、ジョンはすぐに監査計画とチームの役割を概説する会議を組織しました。この段階は、チームを監査の目的と範囲に合わせるために重要でした。しかし、サイバーアクリプトのスタッフへの最初のプレゼンテーションでは、監査の範囲と目的の理解に大きなギャップがあることが明らかになり、社内での準備上の潜在的な課題が示されました。ステージ1の監査が開始されると、チームはオンサイト活動の準備を行いました。彼らは、サイバー アクリプトの情報セキュリティ ポリシーと運用手順を含む文書化された情報をレビューし、各文書が準拠し、作成者識別、作成日、バージョン番号、承認日を含む形式で標準化されていることを確認しました。さらに、監査チームは、各文書に標準のそれぞれの条項で要求される情報が含まれていることを確認しました。このフェーズでは、タスクの実行を説明する文書の詳細な監査は不要であることが明らかになり、プロセスが合理化され、チームの努力が重要な領域に集中しました。オンサイト活動を実施するフェーズでは、チームはサイバー アクリプトのポリシーに対する管理責任を評価しました。この徹底的な調査は、継続的な改善と ISMS 要件への準拠を確認することを目的としていました。その後、文書の第 1 段階監査出力フェーズで、監査チームは調査結果を綿密に文書化し、第 1 段階の目標の達成に関する結論を強調しました。この文書は、監査チームとサイバー アクリプトが予備監査の結果と注意が必要な領域を理解するために不可欠でした。
監査チームは、主要な関係者へのインタビューを実施することも決定した。この決定は、マネジメントシステムのISO準拠を検証するための確固たる監査証拠を収集するという目的に基づいている。
/IEC 27001の要求事項。サイバーACryptのさまざまなレベルの関係者と連携することで、監査チームはISMSの実装と有効性に関する貴重な視点と理解を得ることができました。
第1段階の監査報告書では、重大な懸念事項が明らかになった。適用範囲宣言書(SoA)とISMSポリシーには、リスク評価の不足、アクセス制御の不備、定期的なポリシー見直しの欠如など、いくつかの点で不備が見つかった。これを受け、Cyber​​ ACryptはこれらの不備に対処するため、直ちに行動を起こした。迅速な対応と戦略文書の修正は、コンプライアンス達成への強いコミットメントを示すものであった。
監査チームのサイバーセキュリティに関する知識のギャップを埋めるために導入された技術専門家は、リスク評価方法論の欠陥を特定し、ネットワークアーキテクチャをレビューする上で極めて重要な役割を果たしました。これには、ファイアウォール、侵入検知・防御システム、その他のネットワークセキュリティ対策の評価、およびCyber​​ ACryptが外部および内部の脅威をどのように検知、対応、復旧するかの評価が含まれていました。ジョンの監督の下、技術専門家は監査結果をCyber​​ ACryptの担当者に伝えました。しかし、監査チームは、専門家が被監査企業からコンサルティング料を受け取っていたため、客観性が損なわれていた可能性があることに気づきました。監査中の技術専門家の行動を考慮し、監査チームリーダーはこの懸念について認証機関と話し合うことにしました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ6に基づくと、ステージ1監査におけるインタビューの目的は、監査チームによって適切に設定されたものであったか？

• A. はい、インタビューの目的は、マネジメントシステムがISO/IEC 27001の要求事項に準拠していることを検証するための監査証拠を収集することです。
• B. いいえ、インタビューの目的が経営システムの主要業績評価指標(KPI)と一致していなかったため、監査の有効性が低下しました。
• C. いいえ、インタビューの目的は、被監査者が直面する課題を十分に理解することです。

あなたは経験豊富な監査チームリーダーで、顧客向けにウェブサイトをデザインする組織に対する第三者監視監査を実施しています。現在、その組織の適用範囲に関する声明書を精査しているところです。
ISO/IEC 27001の要求事項に基づくと、適用範囲に関する以下の記述のうち、正しいものはどれですか？(2つ選択可)

• A. ISO/IEC 27001への適合を求める組織は、適用性に関する声明書を作成する必要があります。
• B. 適用範囲に関する声明は、組織の最高経営陣が所有し、修正します。
• C. 適用範囲に関する声明は、経営陣によるレビューで確認されなければならない。
• D. 適用範囲に関する声明は、少なくとも年に一度見直さなければならない。
• E. 適用性に関する声明書において、附属書Aの管理策を含める場合と除外する場合の両方について、その根拠を示す必要があります。
• F. 組織が除外することを選択した管理策については、正当化が必要となります。

シナリオ3：NightCoreは、米国に拠点を置く多国籍テクノロジー企業で、電子商取引、クラウドコンピューティング、デジタルストリーミング、人工知能に重点を置いています。情報セキュリティマネジメントシステム(ISMS)を導入してから8か月以上経過した後、ISO/IEC 27001の認証を取得するために、認証機関に第三者監査の実施を依頼しました。
認証機関は7名の監査員からなるチームを編成した。その中で最も経験豊富なジャックが監査チームのリーダーに任命された。彼は長年にわたり、ISO/IEC 27001主任監査員、CISA、CISSP、CISMなど、数々の著名な資格を取得してきた。
ジャックは、NightCore が実装したすべての情報セキュリティ要件とコントロールを調査および評価することにより、ISMS 監査の各フェーズで徹底的な分析を実施しました。ステージ 2 監査中に、ジャックはいくつかの不適合を検出しました。ソフトウェア ライセンスの購入請求書の数をソフトウェア インベントリと比較した後、ジャックは、会社が多くのコンピュータでソフトウェアの違法バージョンを使用していることを発見しました。彼は、この不適合について経営陣に説明を求め、彼らがこれを認識しているかどうかを確認することにしました。彼の次のステップは、NightCore の IT 部門を監査することでした。経営陣は、NightCore のシステム管理者であるトムをガイド役として任命し、ジャックと監査チームがシステムの内部構造とデジタル資産インフラストラクチャを調査できるようにしました。
監査担当者は財務部の職員に聞き取り調査を行った際、同社が最近、コンサルタントの一人に対して異常に高額な取引を行っていたことを発見した。取引に関する必要な詳細情報をすべて収集した後、ジャックは経営陣に直接聞き取り調査を行うことにした。
最初の不適合について話し合った際、経営陣はジャックに対し、コピー版ソフトウェアの方が安価だったため、オリジナル版ではなくコピー版を使用することに意図的に決めたと説明した。ジャックはナイトコアの経営陣に対し、違法バージョンのソフトウェアを使用することはISO/IEC 27001の要件および国内法規に違反すると説明したが、彼らは特に問題視していないようだった。
監査から数か月後、ジャックは監査中に収集したナイトコアの情報の一部を、ナイトコアの競合他社に巨額の金銭で売却した。
このシナリオに基づいて、次の質問に答えてください。
ISO/IEC 27001は、組織が国内の法律や規制を遵守することを義務付けていますか？

• A. はい、ただし関連する法的要件や契約上の要件を明示的に特定する必要はありません。
• B. はい、適用法令を遵守することはISO/IEC 27001の要件です。
• C. いいえ、組織が国の法律や規制を遵守すべきかどうかについて、基準には明確な指示はありません。

あなたは経験豊富な監査チームリーダーであり、研修中の監査担当者を指導しています。
あなたのチームは現在、外部クライアントのためにデータを保管する組織に対する第三者監視監査を実施しています。研修中の監査担当者は、適用範囲記述書(SoA)に記載され、当該サイトで実施されている組織的統制をレビューする任務を負っています。
研修中の監査担当者がレビューすると予想される管理項目を、以下の項目から4つ選択してください。

• A. 荷積み場への出入り
• B. 電力ケーブルとデータケーブルが建物に引き込まれる方法
• C. 敷地内のCCTVおよびドア制御システムの運用
• D. 情報資産目録の作成と維持
• E. サプライヤー契約において情報セキュリティがどのように扱われているか
• F. 機密保持契約および秘密保持契約
• G. 組織の事業継続計画
• H. 組織内および他組織への情報伝達に関する規則

シナリオ9​​：Techmanicは1995年に設立されたベルギーの企業で、現在はブリュッセルに拠点を置いています。ITコンサルティング、ソフトウェア設計、ハードウェア/ソフトウェアサービス(導入・保守を含む)を提供しています。公共サービス、金融、通信、エネルギー、医療、教育などの分野にサービスを提供しています。顧客中心主義の企業として、顧客との強固な関係構築と最先端のセキュリティ対策を重視しています。
Techmanic は ISO/IEC 27001 認証を取得してから 1 年が経過し、この認証を誇りに思っています。認証監査中に、監査員は ISMS の実装にいくつかの矛盾を発見しました。観察された状況は ISMS が意図した結果を達成する能力に影響を与えなかったため、監査員が根本原因分析と是正措置をリモートでフォローアップした後、Techmanic は認証されました。その年、同社はサービスのリストにホスティングを追加し、その領域を含めるように認証範囲を拡大するよう要求しました。担当の監査員は要求を承認し、拡張監査は監視監査中に実施されることを Techmanic に通知しました。Techmanic は、iSMS の継続的な有効性と ISO/IEC 27001 への準拠を確認するために監視監査を受けました。監視監査は、最近追加されたホスティング サービスを含む Techmanic のセキュリティ プラクティスが認証の厳格な要件にシームレスに整合していることを確認することを目的としていました。監査員は、特に IT コンサルティング セクターで追加の再認証監査の必要性をなくす目的で、以前の監視監査レポートの調査結果を再認証活動で戦略的に活用しました。継続的な改善の価値を認識し、過去の評価から学ぶこと。
Techmanic社は、過去の監視監査報告書をレビューする慣行を導入しました。この積極的なアプローチは、潜在的な不適合事項の特定と解決を容易にしただけでなく、ITコンサルティング業界における再認証プロセスの効率化も目的としていました。
監視監査中に、いくつかの不適合が発見されました。ISMSは引き続きISO/IEC規格を満たしていました。
TechmanicはISO/IEC 27001の要件を満たしていましたが、内部監査員の報告によると、ホスティングサービスに関連する不適合事項を解決できませんでした。さらに、内部監査報告書にはいくつかの矛盾があり、ホスティングサービスの監査における内部監査員の独立性に疑問が生じました。このため、認証の延長は認められませんでした。結果として、Techmanicは別の認証機関への移管を申請しました。その間、同社は顧客に対し、ISO/IEC 27001認証はITサービスだけでなくホスティングサービスも対象としているとの声明を発表しました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
監査担当者は、是正措置の実施状況を遠隔で確認した上で、Techmanic社に認証を推奨しました。これは妥当な判断でしょうか？

• A. いいえ、延長申請があったため、監査フォローアップは現地で実施する必要があります。
• B. はい、軽微な不適合が検出されたため、監査員はリモートで是正計画のフォローアップを行うことができます。
• C. いいえ、監査報告書に不適合事項が含まれていたため、監査フォローアップを実施する必要があります。