Explanation:

リスク分析とは、リスクの性質、発生確率、影響度を決定するプロセスです。リスク分析では、組織の情報セキュリティ目標や要件に影響を与える可能性のある事象や状況の発生確率と結果を推定します12。リスク分析には、定性的手法、定量的手法、またはその両方の組み合わせを使用できます12。
リスク管理とは、組織の方針、手順、慣行を適用することにより、リスクのライフサイクルのすべての段階でリスクを制御するプロセスです。リスク管理には、組織の情報セキュリティのパフォーマンスやコンプライアンスに影響を与える可能性のあるリスクの状況を確立し、特定、分析、評価、対処、監視、およびレビューすることが含まれます12。リスク管理の目的は、リスクがタイムリーかつ効果的に特定および対処され、改善の機会が活用されるようにすることです12。
リスク識別とは、リスクを認識し、記述するプロセスです。リスク識別には、組織の情報セキュリティ目標または要件に影響を与える可能性のあるリスクの発生源、原因、事象、シナリオ、および潜在的な影響を特定し、文書化することが含まれます12。リスク識別には、ブレインストーミング、インタビュー、チェックリスト、アンケート、または履歴データなど、さまざまな手法を使用できます12。
リスク評価とは、リスクの影響や発生確率をリスク基準と比較し、許容できるかどうかを判断するプロセスです。リスク評価では、リスク分析の結果を、組織のリスク許容度、リスク耐性、リスク受容度を反映した事前定義された基準と比較します12。リスク評価には、ランキング、スコアリング、マトリックスなど、さまざまな方法を使用できます12。リスク評価は、適切なリスク対策オプションの優先順位付けと決定に役立ちます12。
リスク軽減とは、制御策を適用することによってリスクの影響や発生確率を低減するプロセスです。リスク軽減には、組織の情報セキュリティ目標や要件に影響を与える可能性のあるリスクを防止、軽減、移転、または受け入れるように設計された対策を選択して実施することが含まれます12。リスク軽減には、技術的、組織的、法的、物理的など、さまざまな種類の制御策が含まれる場合があります12。リスク軽減は、費用対効果分析と残存リスク評価に基づいて行う必要があります12。
リスク移転とは、適切な保険の取得などによって、リスクを第三者に移転するプロセスです。リスク移転には、リスクに対する責任または義務の一部または全部を、リスクを管理する能力や力量のある別の当事者と共有または移転することが含まれます12。リスク移転には、契約、合意、パートナーシップ、アウトソーシング、保険など、さまざまな方法があります12。リスク移転は、組織内の効果的なリスク管理の代替手段として使用すべきではありません12。
参考文献 :
* ISO/IEC 27001:2022 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項
* ISO/IEC 27005:2022 情報技術－セキュリティ技術－情報セキュリティリスクマネジメント

ISO 27001:2022の4.3項によれば、組織は、内部および外部の問題、利害関係者の要求、および他の組織とのインターフェースと依存関係を考慮して、情報セキュリティマネジメントシステム（ISMS）の適用範囲を決定しなければならない。12 この場合、ISMSの適用範囲は、居住者のデータの医療監視と分析のための人工知能（AI）クラウドサーバーをホストするアウトソーシングされたデータセンターをカバーしている。したがって、ISMSの適用範囲を検証するために必要な監査証拠には、以下が含まれるべきである。
* 被監査機関は、医療サービスおよび患者データ処理に関する政府当局のニーズと期待を特定しました。これは外部の問題であり、ISMSの範囲に影響を与える利害関係者の要求事項です。被監査機関は、医療サービスおよび患者データの品質、安全性、プライバシーに関する関連法規を遵守する必要があるためです。12
* 被監査機関は、居住者の個人データをどのように保護すべきかに関する居住者のニーズと期待を特定しました。これは外部の問題であり、ISMSの範囲に影響を与える利害関係者の要求事項です。被監査機関は、電子リストバンドとAIクラウドサーバー12によって収集、処理、保存される居住者の個人データの機密性、完全性、可用性を確保する必要があるためです。
* 人工知能（AI）クラウドサーバーが設置されているデータセンターとのITサービス契約。これは、ISMSの範囲に影響を与える他の組織とのインターフェースおよび依存関係です。監査対象者は、ISMSに関連する外部提供のプロセス、製品、およびサービスを管理し、情報セキュリティに関連する適切な契約要件を実装する必要があります。12 次のオプションは、ISMSの範囲を検証するのに適切または十分ではありません。
* 被監査者は、施設および環境の安全性に関する居住者のニーズと期待を特定しました。これは外部の問題であり、利害関係者の要求事項ですが、情報セキュリティ12とは関係がないため、ISMSの範囲には影響しません。
* 被監査企業はISO 9001認証を取得しています。これは被監査企業の品質マネジメントシステムを示すものですが、情報セキュリティとは関係がないため、ISMSの範囲を検証するものではありません12
* 被監査者は、居住者の快適な施設、医療専門家の能力、清潔な環境に関するニーズと期待を特定しました。これらは外部の問題および利害関係者の要求事項ですが、情報セキュリティ12とは関係がないため、ISMSの範囲には影響しません。
* 被監査者は、住民の医療サービスに関するニーズと期待を特定しました。これらは外部の問題および利害関係者の要求事項ですが、情報セキュリティに特化したものではないため、ISMSの範囲を検証するものではありません。12
* 被監査企業は、外部ソフトウェア会社からヘルスケアモニタリングアプリを購入することを検討しています。これは将来的にISMSの範囲に影響を与える可能性のある変更ですが、まだ実装または管理されていないため、ISMSの現在の範囲を検証するものではありません。12 参考文献:
1: ISO/IEC 27001:2022 リードオーディター（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 リードオーディタートレーニングコース（PECB 2）

包括的かつ詳細な徹底分析
A．正解：
ISO/IEC 17021-1では、拡張監査を監視監査と並行して実施することが認められています。
これにより、重複作業とコストを削減しつつ、法令遵守を維持できます。
B．不正解：
認証機関は、延長監査を承認する権限を有する。
C．不正解：
延長は2年目に限定されず、認証期間中のいつでも可能です。
関連規格参照：

包括的かつ詳細な解説：
* A. 正解:
複数の監査テスト計画を組み合わせることで、異なる視点や検証手法が適用され、監査の精度が向上します。
* ISO 19011:2018は、包括的な結果を確保するために、監査に対する多様なアプローチを推奨しています。
* B. 不正解:
* すべての分野が同等の監査を必要とするわけではなく、リスクに基づいた重点的な監査が望ましい。
* C. 不正解:
組織のニーズによっては、頻繁な監査が必要となる場合があります。
関連規格参照：
* ISO 19011:2018 6.4.3項（保証のための複数の監査試験方法の使用）