ISO-IEC-27001-Lead-Auditor-CN 試験問題 71
あなたは、機密文書およびリムーバブルメディアの安全な廃棄を専門とする組織の第三者認証監査を実施する、経験豊富なISMS監査チームリーダーです。文書とメディアは軍事レベルの機器を使用してシュレッダー処理されており、元のファイルを復元することは不可能です。
監査は順調に進み、最終会議まであと30分となったところで、監査報告書の作成に取りかかろうとしていました。その時、組織の従業員があなたのドアをノックし、話がしたいと申し出てきました。その従業員は、業務が忙しくなると、上司から低グレードの産業用シュレッダーを使うように言われる、なぜなら組織にはそういう機械がたくさんあって、稼働も速いからだと説明しました。被監査組織は、これらの機械の存在や使用についてあなたに一切知らせていませんでした。
このメッセージへの返信方法を決定するために、3つの選択肢から1つを選んでください。
監査は順調に進み、最終会議まであと30分となったところで、監査報告書の作成に取りかかろうとしていました。その時、組織の従業員があなたのドアをノックし、話がしたいと申し出てきました。その従業員は、業務が忙しくなると、上司から低グレードの産業用シュレッダーを使うように言われる、なぜなら組織にはそういう機械がたくさんあって、稼働も速いからだと説明しました。被監査組織は、これらの機械の存在や使用についてあなたに一切知らせていませんでした。
このメッセージへの返信方法を決定するために、3つの選択肢から1つを選んでください。
ISO-IEC-27001-Lead-Auditor-CN 試験問題 72
シナリオ6
Sinvestmentは、住宅保険、商業保険、生命保険など、さまざまな保険プランを提供する保険会社です。もともと北カリフォルニアで設立された同社は、ヨーロッパやアフリカを含む他の地域にも事業を拡大しています。Sinvestmentは事業の成長に加え、業界の関連法規制を遵守し、情報セキュリティインシデントを防止することにも尽力しています。同社はISO規格に基づいた情報セキュリティマネジメントシステム（ISMS）を導入しています。
本製品はIEC 27001規格に準拠しており、認証申請中です。
認証機関は監査チームを任命し、監査を実施させた。監査チームはSinvestment社と機密保持契約を締結した後、業務を開始した。監査の第一段階におけるすべての活動は現地で実施されたが、Sinvestment社の要請により、アーカイブ情報のレビューはリモートで実施された。
監査チームはまず、情報セキュリティマネジメントシステム（ISMS）の適用範囲記述書、情報セキュリティポリシー、内部監査報告書などの必要文書をレビューする第1段階監査を実施しました。記録された情報の評価は、主にその内容と管理プロセスに基づいて行われました。
さらに、監査担当者は、情報セキュリティ研修および啓発プログラムに関する文書が不完全で、重要な詳細情報が欠落していることを発見した。これについて質問された際、Sinvestmentの経営陣は、同社は全従業員に情報セキュリティ研修コースを提供したと述べた。
監査の第2段階は、第1段階から3週間後に実施された。監査チームは、マーケティング部門（監査範囲外）において、従業員のアクセス権限を管理する手順が欠如していることを発見した。
従業員のアクセス権限の管理はISO/IEC 27001の要件の一つであり、会社の情報セキュリティポリシーにも組み込まれているため、この問題は監査報告書に含められました。
質問
Sinewstmentが記録された情報の遠隔レビューを要求することは許容されますか？
Sinvestmentは、住宅保険、商業保険、生命保険など、さまざまな保険プランを提供する保険会社です。もともと北カリフォルニアで設立された同社は、ヨーロッパやアフリカを含む他の地域にも事業を拡大しています。Sinvestmentは事業の成長に加え、業界の関連法規制を遵守し、情報セキュリティインシデントを防止することにも尽力しています。同社はISO規格に基づいた情報セキュリティマネジメントシステム（ISMS）を導入しています。
本製品はIEC 27001規格に準拠しており、認証申請中です。
認証機関は監査チームを任命し、監査を実施させた。監査チームはSinvestment社と機密保持契約を締結した後、業務を開始した。監査の第一段階におけるすべての活動は現地で実施されたが、Sinvestment社の要請により、アーカイブ情報のレビューはリモートで実施された。
監査チームはまず、情報セキュリティマネジメントシステム（ISMS）の適用範囲記述書、情報セキュリティポリシー、内部監査報告書などの必要文書をレビューする第1段階監査を実施しました。記録された情報の評価は、主にその内容と管理プロセスに基づいて行われました。
さらに、監査担当者は、情報セキュリティ研修および啓発プログラムに関する文書が不完全で、重要な詳細情報が欠落していることを発見した。これについて質問された際、Sinvestmentの経営陣は、同社は全従業員に情報セキュリティ研修コースを提供したと述べた。
監査の第2段階は、第1段階から3週間後に実施された。監査チームは、マーケティング部門（監査範囲外）において、従業員のアクセス権限を管理する手順が欠如していることを発見した。
従業員のアクセス権限の管理はISO/IEC 27001の要件の一つであり、会社の情報セキュリティポリシーにも組み込まれているため、この問題は監査報告書に含められました。
質問
Sinewstmentが記録された情報の遠隔レビューを要求することは許容されますか？
ISO-IEC-27001-Lead-Auditor-CN 試験問題 73
あなたは、医療サービスを提供する高齢者向け介護施設でISMS監査を実施しています。監査計画の次のステップは、情報セキュリティインシデント管理プロセスを検証することです。ITセキュリティマネージャーは、情報セキュリティインシデント管理手順を提示し、そのプロセスがISO/IEC 27035-1:2016に基づいていることを説明しました。
文書を確認すると、「情報セキュリティ上の脆弱性、インシデント、または事象は、発見後1時間以内に連絡担当者（PoC）に報告しなければならない」という記述が見つかります。従業員に聞き取り調査を行ったところ、「脆弱性、インシデント、および事象」の意味について、従業員間で認識のずれがあることが判明しました。
イベント追跡システムから過去6か月間のイベント報告記録のサンプルを抽出しました。結果は以下の表にまとめられています。
監査証拠をさらに収集するために、他の領域についても調査を進めたいと考えています。監査証跡に表示されないオプションを2つ選択してください。
文書を確認すると、「情報セキュリティ上の脆弱性、インシデント、または事象は、発見後1時間以内に連絡担当者（PoC）に報告しなければならない」という記述が見つかります。従業員に聞き取り調査を行ったところ、「脆弱性、インシデント、および事象」の意味について、従業員間で認識のずれがあることが判明しました。
イベント追跡システムから過去6か月間のイベント報告記録のサンプルを抽出しました。結果は以下の表にまとめられています。
監査証拠をさらに収集するために、他の領域についても調査を進めたいと考えています。監査証跡に表示されないオプションを2つ選択してください。
ISO-IEC-27001-Lead-Auditor-CN 試験問題 74
あなたは、ABCヘルスケアサービス（介護施設）のISO 27001情報セキュリティマネジメントシステム（ISMS）監視監査を実施しています。ABCは、入居者の健康状態を監視するために、ベンダーであるWeCareが設計・保守するヘルスケアモバイルアプリケーションを使用しています。監査中に、入居者の家族の90%が、WeCareから毎週、電子メールとSMSで医療機器の広告を受け取っていることが判明しました。ABCとWeCare間のサービス契約では、ベンダーが入居者の個人データを使用することを禁じています。ABCは、入居者とその家族から多数の苦情を受けています。
サービスマネージャーは、これらの苦情は情報セキュリティインシデントとして調査され、調査結果から苦情の内容が事実であることが判明したと述べた。
不適合および是正措置管理手順に従って、是正措置が策定され、実施されました。
貴社は、「ABC社は、居住者およびその扶養家族の個人データに関する情報セキュリティ管理基準A.5.34（プライバシーおよび個人識別情報の保護）を遵守していません。当社のプロバイダーであるWeCare社は、居住者の個人情報を使用して、その扶養家族に広告を送信しています。」という内容の不遵守報告書を提出されました。この不遵守に対し、ABC社が取るべき是正措置および改善措置を、以下のリストから3つ選択してください。
ABCは、サイバー犯罪を防止するため、ISMSコンサルタントにABCヘルスケアのモバイルアプリのテストを依頼した。
サービスマネージャーは、これらの苦情は情報セキュリティインシデントとして調査され、調査結果から苦情の内容が事実であることが判明したと述べた。
不適合および是正措置管理手順に従って、是正措置が策定され、実施されました。
貴社は、「ABC社は、居住者およびその扶養家族の個人データに関する情報セキュリティ管理基準A.5.34（プライバシーおよび個人識別情報の保護）を遵守していません。当社のプロバイダーであるWeCare社は、居住者の個人情報を使用して、その扶養家族に広告を送信しています。」という内容の不遵守報告書を提出されました。この不遵守に対し、ABC社が取るべき是正措置および改善措置を、以下のリストから3つ選択してください。
ABCは、サイバー犯罪を防止するため、ISMSコンサルタントにABCヘルスケアのモバイルアプリのテストを依頼した。
ISO-IEC-27001-Lead-Auditor-CN 試験問題 75
あなたは、地元の病院や官公庁などの大規模組織に輸送サービスを提供する国際物流組織の出荷部門でISMS監査を実施しています。荷物には通常、医薬品、生物学的サンプル、パスポートや運転免許証などの書類が含まれています。会社の記録を見ると、ラベルの住所が間違っていることや、15%のケースで1つの荷物に2つ以上の異なる住所のラベルが貼られていることなどが原因で、返品が大量に発生していることがわかります。あなたは輸送マネージャー（SM）の面接を行っています。
出荷前に商品の検査は行いましたか？
SM：明らかに破損している商品は、出荷前に担当スタッフが取り除きますが、利益率が非常に低いため、正式な検査プロセスを実施するのは経済的ではありません。
商品を返品した後、どのような措置を講じますか？
SM：これらの契約のほとんどは比較的少額なので、調査を行うよりも、ラベルを再印刷して個々の荷物を再送する方が簡単で便利だと考えています。
貴社が提起されたクレームは、ラベル表示プロセスに対する管理体制の不備により、ISO 27001:2022に準拠していません。
最終会議で、配送担当マネージャーは、自分の発言が誤解された可能性があるとして謝罪しました。彼は、正しいラベルが正しい荷物に貼られているかを自動的にチェックするバックエンドのITプロセスについて知らなかったため、ラベル貼付中に荷物が剥がれてしまうことを説明しました。そして、不適切な行為を撤回するようあなたに求めました。
監査チームリーダーとして、輸送マネージャーの依頼に対してあなたが取るべき正しい対応を表す3つの選択肢から選んでください。
出荷前に商品の検査は行いましたか？
SM：明らかに破損している商品は、出荷前に担当スタッフが取り除きますが、利益率が非常に低いため、正式な検査プロセスを実施するのは経済的ではありません。
商品を返品した後、どのような措置を講じますか？
SM：これらの契約のほとんどは比較的少額なので、調査を行うよりも、ラベルを再印刷して個々の荷物を再送する方が簡単で便利だと考えています。
貴社が提起されたクレームは、ラベル表示プロセスに対する管理体制の不備により、ISO 27001:2022に準拠していません。
最終会議で、配送担当マネージャーは、自分の発言が誤解された可能性があるとして謝罪しました。彼は、正しいラベルが正しい荷物に貼られているかを自動的にチェックするバックエンドのITプロセスについて知らなかったため、ラベル貼付中に荷物が剥がれてしまうことを説明しました。そして、不適切な行為を撤回するようあなたに求めました。
監査チームリーダーとして、輸送マネージャーの依頼に対してあなたが取るべき正しい対応を表す3つの選択肢から選んでください。