シナリオ4：そのブランドプロモーション会社は、米国で最も有名な企業のいくつかと取引のあるマーケティング会社です。
社内コスト削減のため、Branding社は2年以上にわたり、ソフトウェア開発とITヘルプデスク業務をTechvology社にアウトソーシングしています。Techvology社は、Branding社のソフトウェア、ネットワーク、ハードウェアに関する要件を管理するために必要な専門知識を有しています。Branding社は情報セキュリティマネジメントシステム（ISMS）を導入し、ISO/IEC 27001認証を取得しており、高い情報セキュリティ基準を維持するという強い意志を示しています。Branding社は、アウトソーシング先のTechvology社の業務がISO/IEC 27001のセキュリティ要件を満たしていることを確認するため、定期的に監査を実施しています。
前回の監査では、ブランディングの監査チームは監査対象となるプロセスと監査計画を特定しました。テックボロジーが過去1年間に2件の情報セキュリティインシデントを報告したことを踏まえ、証拠に基づくアプローチを採用しました。監査は、これらのインシデントへの対応を評価し、アウトソーシング契約の条件を遵守していることを確認することに重点を置いています。監査は、提供されたサービスがブランディングの期待と確立された基準を満たしているかどうかを評価するために、テックボロジーのアウトソーシング業務の品質を監視する方法を包括的にレビューすることから始まりました。監査人はまた、テックボロジーが両当事者間の契約上の要件を遵守していることを確認しました。これには、情報セキュリティ対策を含むすべての側面を遵守していることを確認するために、アウトソーシング契約の条件を徹底的にレビューすることが含まれます。
さらに、今回の監査では、Techvologyのアウトソーシング業務およびその他の組織を管理するためのガバナンスプロセスについても厳格な評価が行われました。このステップはブランドプロモーションにとって非常に重要であり、アウトソーシング契約に伴う潜在的なリスクを軽減するための適切な管理および監督メカニズムが確立されているかどうかを確認するのに役立ちます。
監査担当者は、Techvology社の全階層の従業員に聞き取り調査を行い、インシデント対応記録を分析した。Techvology社は、従業員に対しインシデント管理に関する意識向上トレーニングを実施していたことを示す記録も提出した。収集した情報に基づき、監査担当者は、2件のサイバーセキュリティインシデントはいずれも従業員の能力不足が原因であると推測した。そのため、監査担当者は、関係する従業員の人事ファイルへのアクセスを要求し、関連する経験、資格、トレーニング記録などの能力を確認した。
ブランディング社の監査担当者は、入手した証拠の妥当性を厳密に評価し、受け取った記録の信頼性を損なったり、矛盾させたりする可能性のある証拠に対して常に警戒を怠りませんでした。テックボロジー社の監査においても、監査担当者はこの原則を遵守し、インシデント対応記録を厳密に評価するとともに、様々なレベルや職務の従業員に対して詳細なインタビューを実施しました。彼らはテックボロジー社の担当者の発言を鵜呑みにするのではなく、インシデント管理プロセスに関する主張を裏付ける具体的な証拠を求めました。
上記のシナリオに基づいて、以下の質問に答えてください。
質問：
シナリオ4に基づくと、ブランド部門はどのような種類の監査を実施したか？

シナリオ 5: Cobt。ロンドンを拠点とする保険会社で、商業、産業、生命保険など幅広い保険ソリューションを提供しています。Cobt は近年、顧客数が大幅に増加しています。取り扱うデータ量が膨大であるため、ISO/IEC 27001 認証を取得することで情報セキュリティに多くのメリットがもたらされ、継続的な改善への取り組みを示すことができると考えています。同社は定期的なリスク評価を的確に実施していますが、ISMS を導入すると日々の業務に大きな変化が生じます。リスク評価プロセス中に、組織の内部統制が重大な欠陥を検出または防止できなかったリスクが特定されました。
同社はISMS導入のための方法論に従い、わずか数ヶ月で実用的なISMSを構築した。監査チームのメンバーにはそれぞれ責任が割り当てられた。
サラは、Cobtが多様な商業および保険ソリューションを提供することで著しい事業拡大を遂げた一方で、被監査者の確保や協力、証拠へのアクセスといった点において、依然として一部のプロセスが手作業に依存していることを認めた。今回のケースでは、Cobtの拒否により、監査の信頼性および合理的な保証を提供できる能力について疑問が生じた。これに対し、サラは認証契約に署名する前に監査から撤退することを決定し、Cobtおよび認証機関にその旨を通知した。この決定は、監査原則の遵守と透明性の維持を確実にするためであり、これらの原則を堅持するという彼女の一貫した姿勢を示すものである。
上記のシナリオに基づいて、以下の質問に答えてください。
シナリオ5によると、コブト社は、監査計画が監査範囲の最近の変更を正確に反映していないと述べています。サラはこの状況でどうすべきでしょうか？

シナリオ2：
1990年代に設立されたClinicは、心臓病治療と複雑な外科手術を専門とする医療機器メーカーです。ヨーロッパに本社を置き、患者と医療従事者にサービスを提供しています。Clinicは、患者データを収集して、個別の治療計画の策定、治療効果のモニタリング、機器機能の向上を図っています。データセキュリティを強化し、信頼を築くため、ClinicはISO/IEC 27001に基づく情報セキュリティマネジメントシステム（ISMS）を導入しています。これは、機密性の高い患者情報と独自の技術を安全に管理するというClinicの強い決意を示すものです。
当クリニックは、情報セキュリティマネジメントシステム（ISMS）の適用範囲を、内部の問題、インターフェース、内部活動と外部委託活動間の依存関係、および利害関係者の期待のみを考慮して決定しています。この適用範囲は文書化され、詳細に公開されています。ISMSを定義するにあたり、当クリニックは研究開発、患者データ管理、顧客サポートといった主要部門の主要プロセスに焦点を当てることを選択しました。
当初は困難に直面したものの、クリニックは情報セキュリティマネジメントシステム（ISMS）の導入を継続し、セキュリティ対策を独自のニーズに合わせて調整しました。プロジェクトチームは、ISO/IEC 27001規格の附属書Aから特定の対策を除外する一方で、業界固有の対策を取り入れることでセキュリティを強化しました。チームは、これらの対策の適用可能性を内部要因と外部要因の両方の観点から評価し、最終的に、対策の選択と導入の根拠を詳細に記した包括的な適用性宣言書（SoA）を作成しました。
認定取得に向けた準備が進むにつれ、チームリーダーに任命されたブライアンは、積極的なリスク評価手法を用いて、会社の戦略的な課題とセキュリティ対策を特定・評価した。この積極的なアプローチにより、クリニックのリスク評価が目標と使命に合致することが保証された。
質問：
シナリオ2に基づくと、クリニックの情報セキュリティ管理システム（ISMS）の適用範囲は正しく定義されているでしょうか？

シナリオ3
NightCoreは、米国に拠点を置く多国籍テクノロジー企業で、電子商取引、クラウドコンピューティング、デジタルストリーミングメディア、人工知能（AI）を専門としています。情報セキュリティマネジメントシステム（ISMS）を導入してから1年以上が経過した時点で、NightCoreは認証機関にISO/IEC 27001認証監査の実施を依頼しました。
認証機関は5名の監査員からなるチームを編成し、ジャックがチームリーダーを務めた。ジャックは、リスク管理、情報セキュリティ対策、インシデント管理における豊富な監査経験で知られている。
彼のスキルは監査の原則とプロセスに高度に合致しており、監査範囲を効果的に理解し、関連する基準を適用することが可能です。ジャックはまた、ナイトコアの組織構造、ミッション、経営慣行、および事業活動に適用される法的・規制上の要件についても深い理解を示しました。
監査チームは、信頼性が高く再現性のある結論を体系的に導き出すために、合理的な監査手法に従います。チームは、ある程度検証可能な情報のみが有効な証拠とみなされることを認識しています。監査プロセスにおいて、まれに特定の情報の検証が困難な場合や検証可能性が低い場合、監査人は専門的な判断に基づいて、そのような証拠の信頼性を評価し、信憑性を判断します。
監査中、監査担当者は、NightCoreの情報セキュリティ管理システム（ISMS）の運用計画と管理に関する所見とレビューメモを記録しました。また、NightCoreの情報インベントリおよび関連資産に関する所見も記録しました。さらに、ネットワークサービス接続を保護するために実装されたファイアウォール構成についてもレビューを行いました。
審査プロセスが最終段階に入るにつれ、NightCoreが最高水準の情報セキュリティを維持するという強い意志がますます明らかになってきています。ISO/IEC 27001認証は容易に取得可能であり、NightCoreはこの認証を取得することで、テクノロジー業界における評判をさらに高めることができるでしょう。
質問
シナリオ3に基づくと、監査人は、ある程度しか検証できない情報を適切に処理したと言えるでしょうか？

クライアントのデザインファイルのハードコピーを処分したい場合、どうしますか？