第三者監査に割り当てられる日数は、被監査者の都合ではなく、監査範囲、目的、基準、リスク、リソースを考慮した監査プログラムによって決定されます12。被監査者の都合は、監査計画とスケジュールに影響を与える要因の1つにすぎませんが、監査期間には影響しません3。
オンサイト監査の実施が承認されている監査員は、必要なスキルセットに大きな違いがあるため、仮想監査のための追加トレーニングを受ける必要があります。仮想監査は、コミュニケーション、テクノロジー、セキュリティ、証拠収集など、オンサイト監査とは異なる課題と機会をもたらします4。監査員は、リモート監査を実施するためのツールとテクニック、および仮想環境で期待される倫理的かつ専門的な行動について熟知している必要があります。参考文献:
* PECB候補者ハンドブック - ISO 27001主任審査員、18ページ
* ISO 19011:2018、マネジメントシステムの監査に関する指針、5.3.2項
* ISO 19011:2018、マネジメントシステムの監査に関する指針、6.3.1項
* デロイト - 仮想内部監査の実施、1ページ
* [効果的かつ効率的なリモート監査を実施するためのガイド]、1ページ
* [ISO 19011:2018、マネジメントシステムの監査に関する指針]、7.2.3項
* [リモート監査のベストプラクティスと規制遵守のためのチェックリスト]、1ページ

ISO 27001:2022 の 8.1.4 項によれば、組織は、情報セキュリティ管理システムに関連する外部提供のプロセス、製品、またはサービスが管理されていることを保証しなければなりません。これには、ICT 機器を回収のために送付する顧客などの外部プロバイダーとの情報セキュリティに関する適切な契約要件の実装が含まれます。12 この場合、組織は ICT 回収サービスを提供しており、機密情報または秘密情報が含まれている可能性のある顧客の ICT 機器の処理が含まれます。組織は、顧客の ICT 機器が安全に、かつ顧客の情報セキュリティ要件に従って取り扱われることを保証するプロセスを整備する必要があります。プロセスには、顧客の身元と承認の確認、機器の在庫と状態の確認、機器または顧客に関する情報を含むラベルやステッカーの除去または破棄、機器に保存されているデータの消去、実行したアクションと達成された結果の文書化などの手順が含まれる必要があります12 監査人が、サーバー名、IP アドレス、管理者パスワードがわかるステッカーが付いたベンチ上の 2 台のサーバーに気づいたという事実は、顧客の IT セキュリティに関連する入荷貨物の処理プロセスが効果的でないか、従われていないことを示しています。これは、顧客の情報またはシステムへの不正アクセス、開示、または変更のリスクをもたらす可能性があります。したがって、監査人は監査結果を記録し、顧客の IT セキュリティに関連する入荷貨物の処理プロセスを確認し、ISO 27001:2022 の条項 8.1.4 に適合していないかどうかを判断する必要があります12 その他のアクションは、次の理由により適切ではありません。
A. ICT マネージャーに情報セキュリティ インシデントを記録し、情報セキュリティ インシデント管理プロセスを開始するよう依頼することは適切ではありません。なぜなら、これは組織自身の情報やシステムに影響を与える情報セキュリティ インシデントではないからです。情報セキュリティ インシデントとは、事業運営を損ない、情報セキュリティを脅かす可能性が非常に高い、望ましくない、または予期せぬ情報セキュリティ イベントの 1 つまたは一連のものと定義されます。12 この場合、情報セキュリティ イベントは組織の情報やシステムではなく、顧客の情報やシステムに影響を与えます。したがって、組織は情報セキュリティ インシデント管理プロセスではなく、顧客の IT セキュリティに関連する入荷貨物の処理プロセスに従う必要があります。
C. 監査結果で監査人が確認した内容を記録するだけで、それ以上の措置を講じないことは適切ではありません。なぜなら、これでは問題の根本原因や影響に対処できないからです。監査人は、組織の情報セキュリティ管理システムの有効性とコンプライアンスを検証し、不適合や改善の機会を報告する責任があります12。したがって、監査人は、顧客のITセキュリティに関連する入荷品の処理プロセスを確認し、ISO 27001:2022の8.1.4項に不適合があるかどうかを判断する必要があります。
D. 管理5.31「法律、法令、規制、契約上の要求事項」に対する不適合を指摘することは適切ではありません。なぜなら、この管理は問題に関係がないからです。管理5.31では、組織が情報セキュリティ管理システム12に適用される法律、法令、規制、契約上の要求事項を特定し、遵守することを要求しています。この場合、問題は組織が法律、法令、規制、契約上の要求事項を遵守しているかどうかではなく、情報セキュリティ管理システムに関連する外部提供のプロセス、製品、またはサービスに対する組織の管理に関するものです。したがって、監査人は顧客のITセキュリティに関連する入荷品の処理プロセスを確認し、ISO 27001:2022の条項8.1.4に不適合があるかどうかを判断する必要があります。
E. 管理 8.20「ネットワーク セキュリティ」（ネットワークおよびネットワーク デバイスは、システムおよびアプリケーションの情報を保護するために、保護、管理、制御されなければならない）に対する不適合を指摘することは適切ではありません。なぜなら、この管理は問題とは関係がないからです。管理 8.20 では、組織がシステムおよびアプリケーションの情報を保護するために、組織自身のネットワークおよびネットワーク デバイスを保護、管理、制御することを要求しています 12 この場合、問題は組織のネットワーク セキュリティではなく、情報セキュリティ マネジメント システムに関連する外部提供のプロセス、製品、またはサービスに対する組織の制御です。したがって、監査員は、顧客の IT セキュリティに関連する入荷品の処理プロセスを確認し、ISO 27001:2022 の 8.1.4 項に不適合があるかどうかを判断する必要があります。
F. 被監査者にラベルを取り外して監査を続けることは、問題の根本原因や影響に対処できないため適切ではありません。監査人は、監査中に被監査者の業務に干渉したり、是正措置を提案したりしてはなりません。これは、監査人の客観性と公平性を損なうことになるからです。12 監査人は、顧客のITセキュリティに関連する入荷貨物の処理プロセスを確認し、ISO 27001:2022の8.1.4項に適合しない点があるかどうかを判断する必要があります。
参照：
1: ISO/IEC 27001:2022 リードオーディター（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 リードオーディタートレーニングコース（PECB 2）

Reference:
ISO/IEC 27001:2022, Information technology - Security techniques - Information security management systems - Requirements1 PECB Candidate Handbook ISO/IEC 27001 Lead Auditor2 ISO 27001:2022 Lead Auditor - PECB3 ISO 27001:2022 certified ISMS lead auditor - Jisc4 ISO/IEC 27001:2022 Lead Auditor Transition Training Course5 ISO 27001 - Information Security Lead Auditor Course - PwC Training Academy6 ISO/IEC 27035:2022, Information technology - Security techniques - Information security incident management

ここで述べた責任は、「ガイド」の役割に合致する。監査におけるガイドとは、通常、被監査組織のメンバーであり、監査活動を円滑に進め、ロジスティクスを管理し、安全衛生方針の遵守を確保するとともに、監査プロセスに立ち会い、監査チームを支援する人物を指す。
参考文献：ISO 19011:2018、マネジメントシステムの監査に関する指針

正しい記述は以下の4つです。
* 重大な不適合については、現場でのフォローアップが行われる場合があります。
* 重大な不適合に対処するために講じられる措置は、通常、軽微な不適合に対処するために講じられる措置よりも大規模である。
* 複数の軽微な不適合は、重大な不適合としてまとめられることがある。
不適合は、その重要度を示すために等級付けされる場合があります。
ISO 19011:2018によると、不適合とは要求事項を満たしていない状態を指します1。不適合は、監査プログラムまたは監査依頼者によって定められた基準に基づいて、その重要度を示すために等級付けされる場合があります2。不適合の等級付けには、監査の性質と状況に応じて、重大、軽微、重大など、さまざまな用語やレベルが使用される場合があります3。ただし、重大および軽微な不適合の一般的な定義は次のとおりです。
* 重大な不適合とは、マネジメントシステムが意図した結果を達成する能力に影響を与える不適合、またはマネジメントシステムの重大な破綻を示す不適合のことです4。重大な不適合には、即時の是正措置と、監査員による現場でのフォローアップによる是正状況の確認が必要となる場合があります5。
* 軽微な不適合とは、マネジメントシステムが意図した結果を達成する能力に影響を与えない不適合、またはマネジメントシステムの単発的な不備を表す不適合のことです4。軽微な不適合には、指定された期間内に是正措置を講じ、監査員によるオフサイトでの検証によって是正が完了したことを確認する必要がある場合があります5。
不適合に対処するために講じる措置は、不適合の重大度と影響、および再発または悪化のリスクによって異なります。一般的に、重大な不適合に対処するための措置は、軽微な不適合に対処するための措置よりも大規模であり、問​​題の根本原因の特定と排除、予防措置の実施、および解決策の有効性の監視が含まれる場合があります。
複数の軽微な不適合は、同一の要求事項、プロセス、または領域に関連しており、かつ、システム全体の不具合またはマネジメントシステムに対する重大なリスクを示している場合、重大な不適合としてグループ化することができます。監査担当者は、専門的な判断と証拠に基づいたアプローチを用いて、不適合をグループ化するか個別に報告するかを決定する必要があります。
ISO 19011:2018のガイダンスに基づくと、その他の記述は誤りです。例えば、以下のとおりです。
* Option B is false, because nonconformities can be graded using different terms or levels, depending on the criteria established by the audit programme or the audit client2. The terms 'major' and 'minor' are not mandatory or universal, but rather examples of possible grading levels3.
* Option D is false, because very minor nonconformities should not be re-graded as opportunities for improvement, but rather reported as nonconformities, as they still represent a non-fulfilment of a requirement1. An opportunity for improvement is a suggestion for enhancing the performance or effectiveness of the management system, but it is not a nonconformity or a requirement.
* Option F is false, because the grading of nonconformities does not have to be explained to the auditee at the opening meeting, but rather at the closing meeting, where the audit findings and conclusions are presented and discussed. The opening meeting is intended to provide an overview of the audit objectives, scope, criteria, and methods, and to confirm the audit arrangements and logistics.
* Option G is false, because the auditee is not always responsible for determining the criteria for grading nonconformities, but rather the audit programme or the audit client, in consultation with the auditee and other relevant parties2. The auditee is responsible for taking corrective action to address the nonconformities, and for providing evidence of their completion and effectiveness.