ISMSの物理的側面に関連するリストにある4つの管理策は以下のとおりです。
* 荷積み場への出入り
* 電力ケーブルとデータケーブルが建物に引き込まれる方法
* 敷地内のCCTVおよびドア制御システムの運用
* 組織の機器保守に関する取り決め
これらの管理策は、ISO 27001附属書Aから派生したものであり、ISMSに適用できる情報セキュリティ管理策の包括的なリストを提供しています。リストにあるその他の管理策は、ISMSの組織的、法的、または人的側面に関連するものであり、これらも重要ですが、この質問の焦点では​​ありません。
ISMS監査ガイドライン2によれば、研修中の監査員は、物理的統制を以下の方法で確認する必要があります。
* SoAを確認して、適用されるコントロールとその実装状況を特定する
* 関係するスタッフや管理職にインタビューを行い、彼らが統制を理解し、関与していることを確認する。
* 物理的および環境的条件を観察し、制御の存在と有効性を確認する
* 関連する文書や記録を調査して、管理策の遵守状況とパフォーマンスを検証します。これが試験の準備に役立つことを願っています。

包括的かつ詳細な解説：
* 管理統制（管理統制とも呼ばれる）には、効果的なセキュリティガバナンスを確保するためのポリシー、手順、プロセスが含まれます。これらの統制には、研修、内部監査、セキュリティ意識向上プログラム、および経営陣によるレビューが含まれます。これらは、ISO/IEC 27001:2022 附属書 A 統制 A.5.2（情報セキュリティの役割と責任）および A.5.3（職務分掌）に準拠しています。
* B. 組織構造の統制は、職務の分離や職務のローテーションに関係するため、純粋な管理統制というよりは構造的な統制である。
* C. 技術的制御には、ファイアウォール、IDS、その他のセキュリティメカニズムが含まれ、これらは管理上の措置ではなく技術的な措置です。

フィッシングは、クラッカー／ハッカー攻撃に分類される情報セキュリティインシデントの一種です。
フィッシングとは、偽のメールやその他のメッセージを使って受信者を騙し、パスワード、クレジットカード番号、銀行口座情報などの機密情報を漏洩させる詐欺行為の一種です。フィッシングメールは、正規の組織や個人になりすまし、緊急性や好奇心を煽ることで、被害者を悪意のあるリンクをクリックさせたり、悪意のある添付ファイルを開かせたり、個人情報を提供させたりします。
フィッシングは、個人情報の盗難、金銭的損失、データ漏洩、マルウェア感染、その他の損害につながる可能性があるため、情報セキュリティに対する一般的かつ深刻な脅威です。ISO/IEC 27001:2022では、組織がフィッシングなどのソーシャルエンジニアリング攻撃のリスクと回避方法をユーザーに認識させるための啓発およびトレーニングプログラムを実施することを義務付けています（A.7.2.2項参照）。参考文献：CQIおよびIRCA認定ISO/IEC
27001:2022 主任監査員トレーニングコース、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要求事項、フィッシングとは?

研修中の監査員が確認すべき、リストにある4つの統制事項は以下のとおりです。
*
A．機密保持契約および秘密保持契約：この管理策では、機密情報にアクセスするすべての従業員、契約業者、および第三者が、当該情報の機密性と完全性を保護する義務を負う適切な契約に署名することを組織が保証する必要があります。これは、外部顧客のためにデータを保管する組織にとって特に重要であり、顧客の情報資産を保護し、契約上の義務を遵守するという組織の姿勢を示すものです。
* C．情報セキュリティに関する意識向上、教育、および研修：この管理策では、組織の情報システムおよび情報資産にアクセスするすべての従業員、契約業者、および第三者に対し、定期的かつ適切な情報セキュリティに関する意識向上、教育、および研修を提供することが求められます。これは、彼らが自身の役割と責任、情報セキュリティに関する方針と手順、潜在的な脅威とリスク、および情報セキュリティインシデントの防止と対応に関するベストプラクティスを確実に理解するために不可欠です。
* D．リモートワーク体制：この管理策では、組織はテレワーク、モバイルワーク、在宅勤務などのリモートワーク体制に伴う情報セキュリティリスクを管理するためのポリシーと手順を確立し、実施する必要があります。これには、承認されたデバイス、アプリケーション、ネットワーク、暗号化および認証方法、バックアップおよび復旧手順、報告および監視メカニズムなど、リモートワークの条件と要件を定義することが含まれます。これは、外部クライアントのためにデータを保存する組織にとって重要です。なぜなら、従業員の場所や使用するデバイスに関係なく、情報セキュリティレベルが維持されることが保証されるからです。
* E．人員の身元確認：この管理策では、組織の情報システムおよび情報資産にアクセスするすべての従業員、契約業者、および第三者の経歴、資格、および照会先について、適切な身元確認を実施することが求められます。これは、彼らの身元、適性、および信頼性を確認するため、また、組織および顧客の情報セキュリティを損なう可能性のある、権限のない者や悪意のある者の雇用を防止するために必要です。