These three options represent valid audit trails for control 5.7, as they are aligned with the control's requirements and objectives. According to the web search results from my predefined tool, control 5.7 requires organisations to collect and analyse information relating to information security threats and use that information to take mitigation actions12. The control also specifies that threat intelligence should be relevant, perceptive, contextual, and actionable, and that it should be used to prevent, detect, or respond to threats34.
Therefore, the auditor should verify how the organisation collects, analyses, and produces threat intelligence, how it uses threat intelligence to protect its information assets, and how it monitors and evaluates the effectiveness of its threat intelligence arrangements. The other options are not valid audit trails, as they are either irrelevant, incorrect, or incomplete. For example:
*The task of producing threat intelligence is not assigned to the organisation's internal audit team, but to the person or team responsible for the ISMS, such as the information security manager or the information security committee5 .
*The organisation's risk assessment process does not begin with effective threat intelligence, but with the identification of the context, scope, and objectives of the ISMS . Threat intelligence is an input for the risk identification and analysis, but not the starting point of the risk assessment process.
*Speaking to top management to make sure all staff are aware of the importance of reporting threats is not sufficient to audit the control, as it does not address how the organisation collects, analyses, and produces threat intelligence, nor how it uses it to take mitigation actions. The auditor should also speak to the staff involved in the threat intelligence process, and review the relevant documents and records.
*Checking that the organisation has a fully documented threat intelligence process is not enough to audit the control, as it does not verify the implementation and effectiveness of the process. The auditor should also observe the process in action, and examine the outputs and outcomes of the process.
*Determining whether internal and external sources of information are used in the production of threat intelligence is a partial audit trail, as it only covers one aspect of the control. The auditor should also assess the quality, reliability, and relevance of the sources, and how the information is analysed and used.
References: = 1: ISO 27001:2022 Annex A 5.7 - Threat Intelligence - ISMS.online12: ISO 27001 Annex A
5.7 Threat Intelligence - High Table23: ISO/IEC 27001:2022 Information technology - Security techniques
- 情報セキュリティマネジメントシステム - 要求事項、条項 A.5.74: ISO 27002 は脅威インテリジェンスの必要性を強調 - Rapid745: ISO/IEC 27007:2011 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステムの監査に関するガイドライン、条項 6.3.2. : ISO 27001 適用性宣言 [2024 年更新] - Sprinto3 : ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、条項 6.1.1. : ISO 27001 要求事項 6.1.1 - リスクと機会に対処するための措置 | ISMS.online1

フォローアップ監査、特に情報セキュリティマネジメントシステム（ISMS）の文脈におけるフォローアップ監査の理解と、ISO 19011:2018で提供されるガイドラインに基づき、研修中の監査員が正しく回答した質問は以下の4つです。
B: 質問: フォローアップ監査では、不適合が効果的に対処されたことを確認する必要がありますか？ 回答: はい、その通りです。フォローアップ監査の主な目的は、前回の監査で特定された不適合が効果的に対処され、講じられた是正措置が適切かつ効果的であることを確認することです。
D: Q: フォローアップ監査の目的は、是正措置、是正対策、および改善機会の完了を確認することですか？ A: はい。フォローアップ監査は、是正措置および是正対策の完了と有効性を確認することを目的としています。また、初回監査で特定された改善機会の実施状況も検討する場合があります。
E: Q: すべての監査でフォローアップ監査は必須ですか？ A: いいえ。これは正しいです。フォローアップ監査は、すべての監査で自動的に必須となるわけではありません。通常、フォローアップ監査は、以前の監査で不適合やその他の重大な問題が特定され、是正措置の実施状況と有効性を検証する必要がある場合に実施されます。
H: Q: フォローアップ監査の結果、必要に応じてさらにフォローアップ監査を実施することは可能ですか？ A: はい。これは起こり得る結果です。フォローアップ監査で是正措置が十分に効果を発揮していないことが判明した場合、または新たな問題が特定された場合は、再度フォローアップ監査を実施する必要があるかもしれません。
研修中の監査員が提供したその他の回答には、説明や修正が必要です。例えば、フォローアップ監査は主に以前に特定された不適合と是正措置に焦点を当てますが、新たな不適合が発見された場合は、それを特定することもあります（A）。改善の機会は、是正措置に焦点を絞ったフォローアップ監査よりも、通常監査の範囲内でより重視されます（C）。また、フォローアップ監査の結果は、透明性と説明責任を確保するため、通常は監査チームリーダーと監査依頼者の両方に報告されるべきです（FとG）。
研修中の監査員が正しく回答した 4 つの質問は、B、D、E、および H です。これらの質問と回答は、ISO 19011:2018、6.712 項に規定されているフォローアップ監査の定義と目的と一致しています。フォローアップ監査は、前回の監査の結果として講じられた是正措置の完了と有効性を検証するために実施されます (B、D)。フォローアップ監査はすべての監査で必須ではありませんが、監査プログラム、監査クライアント、またはその他の利害関係者によって要求される場合があります (E)。是正措置が満足のいくものでない場合、または合意された期間内に完了しない場合は、フォローアップ監査の結果、別のフォローアップ監査が実施される可能性があります (H)。その他の質問と回答は、不正確または無関係です。フォローアップ監査は、新たな不適合を特定しようとするべきではありません。これは、フォローアップ監査の目的ではないためです (A)。フォローアップ監査では、合意された改善の機会と是正措置の両方を考慮する必要があります。これらはどちらも前回の監査の結果です。フォローアップ監査の結果は、監査依頼者だけでなく、前回の監査を実施した監査チームリーダー（F、G）などの関係者にも報告する必要がある。参考文献：1：ISO
19011:2018、マネジメントシステムの監査に関するガイドライン、第6.7項 \n2: PECB認定ISO/IEC 27001主任監査員試験準備ガイド、ドメイン6：ISO/IEC 27001監査の終了

従業員として、訪問者IDを持たずにうろついている訪問者を見かけた場合、挨拶をしてコーヒーを勧める以外に、以下の対応を取るべきです。挨拶をしてコーヒーを勧めるのは、訪問者の身元や目的を確認せずに歓迎したり支持したりしていると受け取られる可能性があるため、適切な行動ではありません。また、訪問者に信頼を得たり、親切心につけ込んだりする機会を与えてしまう可能性もあります。受付に電話して訪問者について知らせるのは適切な行動です。担当者が状況を把握し、訪問者が承認され登録されていることを確認できるからです。挨拶をして用件を尋ねるのは適切な行動です。訪問者の存在と意図に対する関心と好奇心を示すことができるからです。目的地まで案内するのは適切な行動です。訪問者が一人でうろつき、許可されていないエリアや情報にアクセスするのを防ぐことができるからです。参考文献: : CQI & IRCA ISO 27001:2022 主任審査員コースハンドブック、42 ページ。 : [ISO/IEC 27001 主任審査員 - PECB]、15 ページ。

* A. 他のデータセンターは、同じ通信グループに属していても、外部プロバイダーとして扱われていることを確認します。これは、ISO 27001:2022の8.1.4項で、組織は情報セキュリティマネジメントシステムに関連する外部提供のプロセス、製品、またはサービスが管理されていることを確認する必要があると規定されているため適切です。外部提供のプロセス、製品、またはサービスとは、組織との関係の程度に関わらず、外部の当事者によって提供されるものです。したがって、同じ通信グループ内の他のデータセンターは、外部プロバイダーとして扱われ、他の外部プロバイダーと同様の管理を受ける必要があります12
* B. 外部プロバイダーが、製品またはサービスの使用から生じるリスクを組織に通知するための文書化されたプロセスを整備していることを確認します。これは、ISO 8.1.4 項に基づき適切です。
27001:2022では、組織は外部プロバイダーとの間で情報セキュリティに関する適切な契約要件を導入することが求められています。契約要件の一つとして、外部プロバイダーが、セキュリティインシデント、脆弱性、組織の情報セキュリティに影響を与える可能性のある変更など、製品やサービスの使用から生じるあらゆるリスクを組織に通知する義務を課すことが挙げられます。外部プロバイダーは、そのような通知がタイムリーかつ正確で完全であることを保証するための文書化されたプロセスを整備しておく必要があります。12
* E. 組織が外部プロバイダーのパフォーマンスを定期的に監視、レビュー、評価することを確実にします。これは、ISO 27001:2022の8.1.4項で、組織が外部から提供されるプロセス、製品、またはサービスのパフォーマンスと有効性を監視、レビュー、評価することが求められているため適切です。組織は、外部プロバイダーの成果物と活動の適合性と適切性を測定および検証し、必要に応じてフィードバックと改善策を提供するプロセスを整備する必要があります。組織はまた、監視、レビュー、評価の結果の記録を保持する必要があります12
* F. 組織がISMSに関して外部プロバイダーとコミュニケーションを取る必要性を判断していることを確認します。これは、ISO 27001:2022の7.4.2項で、組織が外部プロバイダーとのコミュニケーションを含め、情報セキュリティマネジメントシステムに関連する内部および外部コミュニケーションの必要性を判断することが求められているため適切です。組織は、そのようなコミュニケーションの目的、内容、頻度、方法、および責任を定義し、それが情報セキュリティポリシーおよび目標と一致していることを確認する必要があります。組織はまた、コミュニケーションの実施の証拠として、コミュニケーションの文書化された情報を保持する必要があります12 ISO 27001に従って外部プロバイダーを評価するには、次の活動は適切ではありません。
2022年:
* C. 組織が情報の機密性、完全性、およびアクセス可能性の維持に不可欠であると特定した各プロセスについて、予備の外部プロバイダーを確保するようにします。これは適切ではありません。ISO 27001:2022では、組織が各重要プロセスについて予備の外部プロバイダーを持つことを要求していないためです。組織は、外部プロバイダーの障害または中断に備えて、緊急時対応計画またはバックアップソリューションを用意することを選択できますが、これは必須要件ではありません。組織は、外部プロバイダーに関連するリスクと機会を評価し、適切な対応策を決定する必要があります。これには、予備の外部プロバイダーを持つことが含まれる場合も含まれない場合もあります。12
* D. 外部提供のプロセスに監査活動を限定します。外部提供の製品やサービスを監査する必要がないためです。これは適切ではありません。ISO 27001:2022の8.1.4項では、組織は情報セキュリティマネジメントシステムに関連する外部提供のプロセス、製品、またはサービスを管理する必要があると規定されているからです。外部提供の製品やサービスには、組織の情報セキュリティに影響を与える可能性のあるソフトウェア、ハードウェア、データ、クラウドサービスなどが含まれる場合があります。したがって、監査活動は、該当する場合、外部提供のプロセスと製品またはサービスの両方を対象とする必要があります12
* G. 私は、経営陣が外部ISMSプロセスと内部ISMSプロセスを提供する者に対して役割と責任を割り当てていることを確認します。これは適切ではありません。ISO 27001:2022の5.3項では、経営陣は組織内の情報セキュリティ管理システムの役割と責任を割り当てる必要があり、外部プロバイダーに対して割り当てる必要はないと規定されているからです。外部プロバイダーは、組織に提供するプロセス、製品、またはサービスについて、自らの役割と責任を割り当てる責任があります。組織は、外部プロバイダーがその役割と責任について十分な能力と認識を持ち、組織の情報セキュリティ要件を遵守する契約上の義務を負っていることを確認する必要があります12
* H. 組織が外部プロバイダーをランク付けし、最も評価の高いプロバイダーに業務の大部分を割り当てるようにします。これは適切ではありません。ISO 27001:2022 では、組織が外部プロバイダーをランク付けしたり、そのようなランク付けに基づいて業務を割り当てたりすることを要求していないためです。組織は、外部プロバイダーのパフォーマンスと有効性を評価および比較することを選択できますが、これは必須要件ではありません。組織は、組織に関連する情報セキュリティ基準と目標に基づいて、外部プロバイダーを選択して使用する必要があります。12 参考文献:
1: ISO/IEC 27001:2022 リードオーディター（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 リードオーディタートレーニングコース（PECB 2）

ISO/IEC 27001 主任審査員向け PECB 候補者ハンドブックによると、是正とは、再作業、修理、交換など、検出された不適合を排除するための措置です 1。A、B、C、E の例は、署名の欠落、ガイドの欠落、日付の誤り、カラーコードの誤りなど、不適合の原因となったエラーや欠陥を修正するため、是正です。その他の例 (D、F、G、H) は、不十分なトレーニング、計画の不備、文書化の不備、責任の不明確さなど、不適合の根本原因に対処するため、是正措置です 2。参考文献: 1:
ISO/IEC 27001 主任審査員のための PECB 候補者ハンドブック、35 ページ、セクション 4.5.12: ISO/IEC 27001 主任審査員のための PECB 候補者ハンドブック、36 ページ、セクション 4.5.2。