ISO-IEC-27001-Lead-Auditor-CN 試験問題 286
シナリオ1
Fintiveは、オンライン決済およびセキュリティソリューションを専門とする大手セキュリティサービスプロバイダーです。1999年にトーマス・フィンによってカリフォルニア州サンノゼで設立されたFintiveは、情報セキュリティの向上、不正行為の防止、個人情報（PII）などのユーザー情報の保護を目指すオンラインビジネスを支援しています。
Fintiveの意思決定および業務プロセスは、過去の事例に基づいており、顧客データを収集し、事例ごとに分類し、分析する。
当初、Fintiveはこのような複雑な分析を行うために多数の従業員を必要としていた。
しかし、技術の進歩に伴い、同社はチャットボットという最新ツールを活用してパターン分析を行い、リアルタイムで不正行為を防止できることに気づきました。このツールは顧客サービスの向上にも役立ちます。
当初のアイデアはソフトウェア開発チームに伝えられ、彼らはこの取り組みを支持し、プロジェクトのリーダーに任命された。彼らはチャットボットを既存のシステムに統合し始め、チャットボットの目標として、チャットによる問い合わせの85%に回答することを設定した。
チャットボットの統合に成功した後、同社はそれを顧客向けにリリースしました。しかし、チャットボットにはいくつかの問題が発生しました。トレーニング段階でのテスト不足とサンプルデータの不足（クエリパターンを学習するために使用されるべきデータ）が原因で、チャットボットはユーザーのクエリに効果的に応答できませんでした。さらに、無効な入力（一般的でないピリオドや特殊文字など）に遭遇すると、ランダムなファイルをユーザーに送信してしまうという問題もありました。
そのため、チャットボットは顧客からの問い合わせに効果的に対応することができず、従来のカスタマーサービス担当者の負担を増大させ、顧客の要望に対応することを不可能にしてしまう。
潜在的なリスクを認識したFintiveは、一連の新たな対策を実施することを決定しました。これらの対策には、包括的な監査ログの有効化、異常なアクティビティを検知する自動アラートシステムの設定、定期的なアクセスレビューの実施、およびシステム動作の異常監視が含まれます。その目的は、不正アクセス、エラー、または不審なアクティビティを迅速に特定し、重大な損害が発生する前に潜在的な問題を速やかに検知・調査することでした。
質問
シナリオ1に基づき、Fintiveは特定された問題に対してどのような対策を実施しましたか？
Fintiveは、オンライン決済およびセキュリティソリューションを専門とする大手セキュリティサービスプロバイダーです。1999年にトーマス・フィンによってカリフォルニア州サンノゼで設立されたFintiveは、情報セキュリティの向上、不正行為の防止、個人情報（PII）などのユーザー情報の保護を目指すオンラインビジネスを支援しています。
Fintiveの意思決定および業務プロセスは、過去の事例に基づいており、顧客データを収集し、事例ごとに分類し、分析する。
当初、Fintiveはこのような複雑な分析を行うために多数の従業員を必要としていた。
しかし、技術の進歩に伴い、同社はチャットボットという最新ツールを活用してパターン分析を行い、リアルタイムで不正行為を防止できることに気づきました。このツールは顧客サービスの向上にも役立ちます。
当初のアイデアはソフトウェア開発チームに伝えられ、彼らはこの取り組みを支持し、プロジェクトのリーダーに任命された。彼らはチャットボットを既存のシステムに統合し始め、チャットボットの目標として、チャットによる問い合わせの85%に回答することを設定した。
チャットボットの統合に成功した後、同社はそれを顧客向けにリリースしました。しかし、チャットボットにはいくつかの問題が発生しました。トレーニング段階でのテスト不足とサンプルデータの不足（クエリパターンを学習するために使用されるべきデータ）が原因で、チャットボットはユーザーのクエリに効果的に応答できませんでした。さらに、無効な入力（一般的でないピリオドや特殊文字など）に遭遇すると、ランダムなファイルをユーザーに送信してしまうという問題もありました。
そのため、チャットボットは顧客からの問い合わせに効果的に対応することができず、従来のカスタマーサービス担当者の負担を増大させ、顧客の要望に対応することを不可能にしてしまう。
潜在的なリスクを認識したFintiveは、一連の新たな対策を実施することを決定しました。これらの対策には、包括的な監査ログの有効化、異常なアクティビティを検知する自動アラートシステムの設定、定期的なアクセスレビューの実施、およびシステム動作の異常監視が含まれます。その目的は、不正アクセス、エラー、または不審なアクティビティを迅速に特定し、重大な損害が発生する前に潜在的な問題を速やかに検知・調査することでした。
質問
シナリオ1に基づき、Fintiveは特定された問題に対してどのような対策を実施しましたか？
ISO-IEC-27001-Lead-Auditor-CN 試験問題 287
あなたは経験豊富なISMS監査チームリーダーで、監査員の研修を指導しています。あなたは彼女に一連の質問をすることで、今後の監査に関する彼女の理解度を確かめることにしました。以下はあなたの質問と彼女の回答です。
彼女はどの4つの質問に正しく答えたか？
彼女はどの4つの質問に正しく答えたか？
ISO-IEC-27001-Lead-Auditor-CN 試験問題 288
シナリオ7：Lawsyは、ニュージャージー州とニューヨーク市にオフィスを構える大手法律事務所です。50名以上の弁護士を擁し、企業法務、知的財産、銀行業務、金融サービスといった分野で顧客に包括的な法的サービスを提供しています。同社は、情報セキュリティにおけるベストプラクティスの導入と技術革新への対応に注力することで、市場において確固たる地位を築いていると確信しています。
Lawsyは、過去2年間、ISMS（情報セキュリティマネジメントシステム）の厳格な導入、評価、および内部監査を実施してきた。
彼らは現在、知名度が高く信頼できる認証機関であるISMAに対し、ISO/IEC 27001認証の申請を行っている。
監査の第一段階では、監査チームは導入プロセス中に作成されたすべてのISMS文書をレビューした。
彼らはまた、経営陣によるレビューや内部監査の記録を精査し、評価した。
Lawsy社は、不適合に対して必要に応じて是正措置が講じられたことを示す証拠を提出し、これを受けて監査チームは内部監査担当者への聞き取り調査を実施した。この聞き取り調査により、内部監査計画と手順に関する詳細な理解が得られ、内部監査の適切性と頻度が検証された。
監査チームは、情報セキュリティポリシーやリスク評価基準などの戦略文書の検証を継続しました。情報セキュリティポリシーのレビュー中に、チームは、文書化された情報とガバナンスフレームワーク（すなわち情報セキュリティポリシー）を説明する手順との間に矛盾があることに気づきました。
従業員はノートパソコンを職場外に持ち出すことが許可されているものの、Lawsy社にはその使用に関する明確な手順が定められていません。社内規定にはノートパソコンの使用に関する一般的な情報しか記載されていません。同社は、ノートパソコンに保存されている情報の機密性と完全性を保護するために、従業員の常識に頼っています。この問題は、フェーズ1監査報告書に記載されています。
監査の第一段階が完了した後、監査チームリーダーは監査計画書を作成し、監査の目的、範囲、基準、および手順を概説した。
監査の第2段階では、監査チームは情報セキュリティポリシーを作成したサイバーセキュリティマネージャーにインタビューを行った。マネージャーは、Lawsy社が3ヶ月ごとに情報セキュリティに関する必須の研修と啓発コースを実施していることを指摘し、第1段階で指摘された問題点の妥当性を証明した。
面接後、監査チームは従業員研修記録50件のうち15件を精査し、Lawsy社が研修および意識向上に関するISO/IEC 27001の要件を満たしていると結論付けた。この結論を裏付けるため、監査チームは精査した従業員研修記録のコピーを作成した。
上記のシナリオに基づいて、以下の質問に答えてください。
シナリオ7に基づくと、Lawsyはレビューの第2段階を開始する前に何をすべきでしょうか？
Lawsyは、過去2年間、ISMS（情報セキュリティマネジメントシステム）の厳格な導入、評価、および内部監査を実施してきた。
彼らは現在、知名度が高く信頼できる認証機関であるISMAに対し、ISO/IEC 27001認証の申請を行っている。
監査の第一段階では、監査チームは導入プロセス中に作成されたすべてのISMS文書をレビューした。
彼らはまた、経営陣によるレビューや内部監査の記録を精査し、評価した。
Lawsy社は、不適合に対して必要に応じて是正措置が講じられたことを示す証拠を提出し、これを受けて監査チームは内部監査担当者への聞き取り調査を実施した。この聞き取り調査により、内部監査計画と手順に関する詳細な理解が得られ、内部監査の適切性と頻度が検証された。
監査チームは、情報セキュリティポリシーやリスク評価基準などの戦略文書の検証を継続しました。情報セキュリティポリシーのレビュー中に、チームは、文書化された情報とガバナンスフレームワーク（すなわち情報セキュリティポリシー）を説明する手順との間に矛盾があることに気づきました。
従業員はノートパソコンを職場外に持ち出すことが許可されているものの、Lawsy社にはその使用に関する明確な手順が定められていません。社内規定にはノートパソコンの使用に関する一般的な情報しか記載されていません。同社は、ノートパソコンに保存されている情報の機密性と完全性を保護するために、従業員の常識に頼っています。この問題は、フェーズ1監査報告書に記載されています。
監査の第一段階が完了した後、監査チームリーダーは監査計画書を作成し、監査の目的、範囲、基準、および手順を概説した。
監査の第2段階では、監査チームは情報セキュリティポリシーを作成したサイバーセキュリティマネージャーにインタビューを行った。マネージャーは、Lawsy社が3ヶ月ごとに情報セキュリティに関する必須の研修と啓発コースを実施していることを指摘し、第1段階で指摘された問題点の妥当性を証明した。
面接後、監査チームは従業員研修記録50件のうち15件を精査し、Lawsy社が研修および意識向上に関するISO/IEC 27001の要件を満たしていると結論付けた。この結論を裏付けるため、監査チームは精査した従業員研修記録のコピーを作成した。
上記のシナリオに基づいて、以下の質問に答えてください。
シナリオ7に基づくと、Lawsyはレビューの第2段階を開始する前に何をすべきでしょうか？
ISO-IEC-27001-Lead-Auditor-CN 試験問題 289
ISMSの標準的な定義は何ですか？
ISO-IEC-27001-Lead-Auditor-CN 試験問題 290
シナリオ9：UpNetはISO/IEC 27001認証を取得したインターネット企業です。
ISO/IEC 27001認証取得以来、当社の認知度は著しく向上しました。この認証は、UpNefsの事業運営の成熟度と、広く認知され受け入れられている規格への準拠を証明するものです。
しかし、認証はそこで終わりではありません。UpNetは、内部監査を通じて、セキュリティ管理とISMS全体の有効性および効率性を継続的に見直し、強化しています。経営陣は専任の内部監査チームを雇用することに消極的だったため、内部監査機能を外部委託することにしました。この形式の内部監査は、独立性と客観性を確保し、ISMSの継続的な改善のための助言サポートを提供します。
最初の認証監査後まもなく、同社はデータおよびストレージ製品を専門とする新部門を設立した。この部門では、データセンター向けに最適化されたルーターやスイッチ、ネットワーク仮想化やネットワークセキュリティ機器などのソフトウェアベースのネットワーク機器を提供している。これにより、既にISMS認証の対象となっていた他の部門の業務にも変更が生じた。
そのため、UpNetはリスク評価プロセスと内部監査を開始しました。内部監査の結果に基づき、同社は既存および新規のプロセスと管理体制の有効性と効率性を確認しました。
新設された部署がISO/IEC 27001の要件を満たしていたため、経営陣は認証範囲に含めることを決定しました。UpNetは、会社全体を対象とするISO/IEC 27001認証を取得したことを発表しました。
最初の認証監査から1年後、認証機関はUpNefsのISMS（情報セキュリティマネジメントシステム）に対する別の監査を実施した。
この監査は、UpNefsのISMSが規定のISO/IEC 27001の要求事項に準拠しているかどうかを判断し、ISMSの継続的な改善を確保することを目的としていました。監査チームは、認証済みのISMSが引き続き規格の要求事項を満たしていることを確認しました。しかしながら、新設された部署はマネジメントシステムのガバナンスに大きな影響を与えており、さらに認証機関にはこれらの変更について一切通知されていませんでした。そのため、UpNefsの認証は一時停止されました。
上記のシナリオに基づいて、以下の質問に答えてください。
シナリオ9の最後の段落で説明されている監査の種類は何ですか？
ISO/IEC 27001認証取得以来、当社の認知度は著しく向上しました。この認証は、UpNefsの事業運営の成熟度と、広く認知され受け入れられている規格への準拠を証明するものです。
しかし、認証はそこで終わりではありません。UpNetは、内部監査を通じて、セキュリティ管理とISMS全体の有効性および効率性を継続的に見直し、強化しています。経営陣は専任の内部監査チームを雇用することに消極的だったため、内部監査機能を外部委託することにしました。この形式の内部監査は、独立性と客観性を確保し、ISMSの継続的な改善のための助言サポートを提供します。
最初の認証監査後まもなく、同社はデータおよびストレージ製品を専門とする新部門を設立した。この部門では、データセンター向けに最適化されたルーターやスイッチ、ネットワーク仮想化やネットワークセキュリティ機器などのソフトウェアベースのネットワーク機器を提供している。これにより、既にISMS認証の対象となっていた他の部門の業務にも変更が生じた。
そのため、UpNetはリスク評価プロセスと内部監査を開始しました。内部監査の結果に基づき、同社は既存および新規のプロセスと管理体制の有効性と効率性を確認しました。
新設された部署がISO/IEC 27001の要件を満たしていたため、経営陣は認証範囲に含めることを決定しました。UpNetは、会社全体を対象とするISO/IEC 27001認証を取得したことを発表しました。
最初の認証監査から1年後、認証機関はUpNefsのISMS（情報セキュリティマネジメントシステム）に対する別の監査を実施した。
この監査は、UpNefsのISMSが規定のISO/IEC 27001の要求事項に準拠しているかどうかを判断し、ISMSの継続的な改善を確保することを目的としていました。監査チームは、認証済みのISMSが引き続き規格の要求事項を満たしていることを確認しました。しかしながら、新設された部署はマネジメントシステムのガバナンスに大きな影響を与えており、さらに認証機関にはこれらの変更について一切通知されていませんでした。そのため、UpNefsの認証は一時停止されました。
上記のシナリオに基づいて、以下の質問に答えてください。
シナリオ9の最後の段落で説明されている監査の種類は何ですか？