情報セキュリティマネジメントシステムの監査をどのように実施すべきかを最も適切に表している選択肢を選んでください。

• A. 監査勧告を作成するために、監査方法を用いて監査証拠を評価する必要がある。
  次に、監査勧告を作成し、最終会議で被監査企業に提示する必要がある。
• B. 監査基準を用いて客観的な証拠を評価し、監査結果を生成する必要があります。その後、監査報告書を作成し、最終会議で監査チームリーダーに提出する必要があります。
• C. 監査目的を用いて客観的な証拠を評価し、監査結論を導き出す必要があります。その後、監査勧告を作成し、経営陣レビューで経営陣に提示する必要があります。
• D. 監査目的を用いて監査証拠を評価し、監査結論を導き出す。そして、監査結果を作成し、最終会議で監査依頼者に提示する。
• E. 監査結果を生成するために、状況証拠を評価するために監査基準を使用する必要があります。
  次に、監査報告書を作成し、監査チーム会議で監査チームに提示する必要があります。
• F. 監査結果を生成するためには、客観的な証拠を評価するために監査手法を用いるべきである。その後、監査結論を作成し、最終会議で被監査者に提示すべきである。

-------------------------は、他の重要なビジネス資産と同様に、組織にとって価値があり、したがって保護する必要があります。

• A. データ
• B. セキュリティ
• C. 情報
• D. インフラ

シナリオ2：
1990年代に設立されたClinicは、心臓関連疾患の治療や複雑な外科手術を専門とする医療機器メーカーです。ヨーロッパに拠点を置き、患者と医療従事者の両方にサービスを提供しています。Clinicは、治療の個別化、治療結果のモニタリング、機器機能の向上を目的として患者データを収集しています。データセキュリティを強化し、信頼を築くため、ClinicはISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入しています。この取り組みは、機密性の高い患者情報と独自の技術を安全に管理するというClinicの強い決意を示すものです。
当クリニックは、内部の問題、インターフェース、内部活動と外部委託活動間の依存関係、および利害関係者の期待のみを考慮して、ISMSの適用範囲を定めました。この適用範囲は綿密に文書化され、誰でも閲覧できるようにしました。ISMSを定義するにあたり、当クリニックは、研究開発、患者データ管理、顧客サポートといった重要な部門内の主要プロセスに特に焦点を当てることを選択しました。
当初は困難に直面したものの、クリニックはISMSの導入に尽力し、独自のニーズに合わせてセキュリティ管理策を策定しました。プロジェクトチームは、ISO/IEC 27001の附属書Aに記載されている特定の管理策を除外する一方で、セキュリティを強化するために業界固有の管理策を追加しました。チームは、これらの管理策の適用可能性を内部および外部の要因に基づいて評価し、最終的に、管理策の選択と導入の根拠を詳細に記した包括的な適用性宣言書(SoA)を作成しました。
認証取得に向けた準備が進むにつれ、チームリーダーに任命されたブライアンは、自主的なリスク評価手法を採用し、会社の戦略的課題とセキュリティ対策を特定・評価した。この積極的なアプローチにより、クリニックのリスク評価は、その目標と使命に沿ったものとなった。
質問：
シナリオ2に基づき、クリニックはまず情報セキュリティの目標を定義し、その後リスク評価を実施しました。これは許容範囲内でしょうか？

• A. いいえ、リスク評価は目標が完全に達成された後にのみ実施されるべきだからです。
• B. はい、なぜなら目標は後でリスク評価の結果に合わせて調整できるからです
• C. いいえ、ISO/IEC 27001の要求事項に従い、リスク評価の結果を考慮して情報セキュリティ目標を設定する必要があります。

シナリオ9​​：Techmanicは1995年に設立されたベルギーの企業で、現在はブリュッセルに拠点を置いています。ITコンサルティング、ソフトウェア設計、ハードウェア/ソフトウェアサービス(導入・保守を含む)を提供しています。公共サービス、金融、通信、エネルギー、医療、教育などの分野にサービスを提供しています。顧客中心主義の企業として、顧客との強固な関係構築と最先端のセキュリティ対策を重視しています。
Techmanic は ISO/IEC 27001 認証を取得してから 1 年が経過し、この認証を誇りに思っています。認証監査中に、監査員は ISMS の実装にいくつかの矛盾を発見しました。観察された状況は ISMS が意図した結果を達成する能力に影響を与えなかったため、監査員が根本原因分析と是正措置をリモートでフォローアップした後、Techmanic は認証されました。その年、同社はサービスのリストにホスティングを追加し、その領域を含めるように認証範囲を拡大するよう要求しました。担当の監査員は要求を承認し、拡張監査は監視監査中に実施されることを Techmanic に通知しました。Techmanic は、iSMS の継続的な有効性と ISO/IEC 27001 への準拠を確認するために監視監査を受けました。監視監査は、最近追加されたホスティング サービスを含む Techmanic のセキュリティ プラクティスが認証の厳格な要件にシームレスに整合していることを確認することを目的としていました。監査員は、特に IT コンサルティング セクターで追加の再認証監査の必要性をなくす目的で、以前の監視監査レポートの調査結果を再認証活動で戦略的に活用しました。継続的な改善の価値を認識し、過去の評価から学ぶこと。
Techmanic社は、過去の監視監査報告書をレビューする慣行を導入しました。この積極的なアプローチは、潜在的な不適合事項の特定と解決を容易にしただけでなく、ITコンサルティング業界における再認証プロセスの効率化も目的としていました。
監視監査中に、いくつかの不適合が発見されました。ISMSは引き続きISO/IEC規格を満たしていました。
TechmanicはISO/IEC 27001の要件を満たしていましたが、内部監査員の報告によると、ホスティングサービスに関連する不適合事項を解決できませんでした。さらに、内部監査報告書にはいくつかの矛盾があり、ホスティングサービスの監査における内部監査員の独立性に疑問が生じました。このため、認証の延長は認められませんでした。結果として、Techmanicは別の認証機関への移管を申請しました。その間、同社は顧客に対し、ISO/IEC 27001認証はITサービスだけでなくホスティングサービスも対象としているとの声明を発表しました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
外部監査の結果に基づいて策定された改善計画のフォローアップは、内部監査担当者の責任ですか？

• A. はい、内部監査人は内部監査および外部監査中に提出された改善計画をフォローアップする必要があります。
• B. いいえ、内部監査担当者は、内部監査のみから生じた不適合に対応して提出された是正計画についてフォローアップを行う必要があります。
• C. はい、外部監査で軽微な不適合が発見された場合に限ります。