説明
「第三者監査では、組織の適合性が行動を起こす必要がないことを示す観察結果が得られる場合があります。」PECB 候補者ハンドブック 1 によると、所見とは「監査中に行われ、客観的な証拠によって実証された事実の陳述」です。観察により適合または不適合が示される場合がありますが、監査対象組織による是正措置は必要ありません。一方、推奨は「観察に基づいた改善の提案」です。推奨事項は、監査対象の組織によって受け入れられる場合と受け入れられない場合があります。
基本 - 第三者2 によると、第三者監査は「組織のプロセスと手順を監査する法的権利を持つ外部組織によって実施される監査」です。第三者監査により、「収集された監査証拠に基づいて監査人が到達した結論」である所見が得られる場合があります。監査対象の組織が監査基準を満たしているかどうかに応じて、結果が肯定的になる場合も否定的になる場合もあります。不適合とは「要求事項が満たされていないことを示す所見」です。不適合が発生した場合は、再発を防ぐために監査対象組織による是正措置が必要です。

Explanation:
※レビューは、ISO/IECに準拠した情報セキュリティマネジメントシステム（ISMS）の導入・改善の4段階モデル​​であるPDCAサイクルの第3段階です。
27001:202212。レビューには、確立されたポリシー、目的、基準に対する ISMS のパフォーマンスの評価と測定が含まれます12。
※「評価」とは、ISMSをレビューする行為を表す動詞です。「評価」とは、体系的かつ客観的な方法で何かを評価、分析、測定することを意味します3。ISMS の評価には、監査証拠の収集と検証、長所と短所の特定、適合または不適合の程度の決定が含まれます12。
※「定期的」とは、ISMSの見直しの頻度や間隔を表す形容詞です。定期的とは、固定または均一の間隔で発生または実行されることを意味します4。ISMS を定期的にレビューするということは、組織のニーズとリスクに応じて、毎年、四半期、または毎月など、定期的に内部監査と経営レビューを実施することを意味します12。
※適合性とは、ISMSレビューの品質や結果を表す属性の1つです。適合性とは、特定の目的、人、または状況に適切である、または適合していることを意味します5。ISMS の適合性をレビューするということは、ISMS が組織の戦略的方向性、ビジネス目標、および情報セキュリティ要件と一致していることを確認することを意味します12。
参考文献:
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* ISO/IEC 27003:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - ガイダンス
* 評価 | メリアム・ウェブスターによる評価の定義
* レギュラー | メリアム・ウェブスターによるレギュラーの定義
* 適合性 | Merriam-Webster による適合性の定義

説明
CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コースによれば、建物が存在する都市または場所にアクセスできる/アクセスできないシナリオは、都市災害シナリオと呼ばれます。このシナリオは、コンポーネント、施設、および国のシナリオとともに、事業継続計画プロセスで考慮される必要がある 4 種類の災害シナリオの 1 つです。都市シナリオは、組織が活動する都市または地域全体に影響を与える自然災害、社会不安、テロ攻撃、パンデミックの発生などの出来事によって引き起こされる可能性があります。参考文献: [CQI & IRCA 認定 ISO/IEC
27001:2022 主任監査員養成コース]

説明
ISO 27001:2022 の第 8.1.4 項に従って、組織は、情報セキュリティ管理システムに関連する外部から提供されるプロセス、製品、またはサービスが確実に管理されるようにしなければなりません。これには、回収のために ICT 機器を送付する顧客などの外部プロバイダーとの情報セキュリティに関連する適切な契約要件の実装が含まれます12。この場合、組織は ICT 回収サービスを提供します。これには、機密情報や機密情報が含まれる可能性のある顧客の ICT 機器の処理が含まれます。組織は、顧客の ICT 機器が安全に、かつ顧客の情報セキュリティ要件に従って取り扱われることを保証するためのプロセスを整備する必要があります。このプロセスには、顧客の身元と権限の確認、機器の在庫と状態の確認、機器や顧客に関する情報が含まれるラベルやステッカーの除去または破棄、機器に保存されているデータの消去または消去などのステップが含まれている必要があります。実行されたアクションと達成された結果を文書化する12 監査人が、サーバーの名前、IP アドレス、管理者パスワードを明らかにするステッカーが貼られた 2 台のサーバーがベンチ上にあることに気づいたという事実は、顧客の IT セキュリティに関連する入荷品の処理プロセスが効果的ではないことを示しています。またはフォローされていません。これにより、お客様の情報やシステムが不正にアクセス、開示、変更されるリスクが生じる可能性があります。したがって、監査人は監査結果に留意し、顧客の IT セキュリティに関連する入荷出荷の処理プロセスを確認し、ISO 27001:202212 の条項 8.1.4 に不適合があるかどうかを判断する必要があります。その他の措置は以下の場合には適切ではありません。理由:
A: これは組織自体の情報やシステムに影響を与える情報セキュリティ インシデントではないため、ICT マネージャーに情報セキュリティ インシデントを記録し、情報セキュリティ インシデント管理プロセスを開始するよう依頼することは適切ではありません。情報セキュリティ インシデントは、事業運営を侵害し、情報セキュリティを脅かす可能性が高い、単一または一連の望ましくない、または予期しない情報セキュリティ イベントとして定義されます12。この場合、情報セキュリティ イベントは、組織ではなく顧客の情報またはシステムに影響を与えます。 。したがって、組織は、情報セキュリティ インシデント管理のプロセスではなく、顧客の IT セキュリティに関連する入荷品を処理するプロセスに従う必要があります。
C: 監査結果で監査人が確認したことを記録し、それ以上の措置を講じないことは、問題の根本原因や影響に対処しないため、適切ではありません。監査人には、組織の情報セキュリティ管理システムの有効性と準拠性を検証し、不適合または改善の機会があれば報告する責任があります12。 したがって、監査人は、顧客の IT セキュリティに関連する入荷品の処理プロセスを確認し、次のことを判断する必要があります。 ISO 27001:2022 の 8.1.4 項に不適合があります。
D: コントロールに対する不適合の提起 5.31 このコントロールは問題に関連していないため、法律、法定、規制および契約上の要件は適切ではありません。コントロール 5.31 では、情報セキュリティ管理システムに適用される法的、法定、規制および契約上の要件を特定し、遵守することが組織に求められています12 この場合、問題は組織が法的、法定、規制および契約上の要件に準拠しているかどうかではありません。ただし、情報セキュリティ管理システムに関連する外部から提供されるプロセス、製品、またはサービスの組織の制御についてです。したがって、監査人は、顧客の IT セキュリティに関連する入荷品の処理プロセスをチェックし、ISO 27001:2022 の条項 8.1.4 に準拠していないかどうかを判断する必要があります。
E: コントロール 8.20 の「ネットワーク セキュリティ」(システムおよびアプリケーション内の情報を保護するために、ネットワークおよびネットワーク デバイスはセキュリティで保護され、管理および制御されなければならない) に対する不適合を提起することは、このコントロールが問題に関連していないため、適切ではありません。Control 8.20 では、組織がシステムやアプリケーション内の情報を保護するために、独自のネットワークとネットワーク デバイスを保護、管理、制御する必要があります12。この場合、問題は組織のネットワーク セキュリティに関するものではなく、外部から提供されるプロセスの組織の制御に関するものです。 、情報セキュリティマネジメントシステムに関連する製品またはサービス。したがって、監査人は、顧客の IT セキュリティに関連する入荷品の処理プロセスをチェックし、ISO 27001:2022 の条項 8.1.4 に準拠していないかどうかを判断する必要があります。
F: 被監査者にラベルを剥がしてから監査を続行するよう依頼することは、問題の根本原因や影響に対処できないため、適切ではありません。監査人は、監査中に被監査者の業務を妨害したり、是正措置を提案したりしてはなりません。これは、監査人の客観性と公平性を損なうことになるからです12。 監査人は、顧客の IT セキュリティに関連する入荷品の処理プロセスを確認し、不適合があるかどうかを判断する必要があります。 ISO 27001:2022 の条項 8.1.4 に準拠。
参考文献:
1: CQI および IRCA 認定トレーニングによる ISO/IEC 27001:2022 主任監査人 (情報セキュリティ マネジメント システム) コース 1 2: PECB による ISO/IEC 27001 主任監査人トレーニング コース 2

壊滅的なオフィス火災の後、全スタッフは会社の他の支店に異動させられました。この措置は、インシデント管理プロセスにおいて、インシデントと損害が発生するまでの間に実施されます。インシデント管理は、できるだけ短時間でインシデントを検出、調査、対応するプロセスです。インシデントとは、サービスまたはワークフローに対するあらゆる中断です。火災は、組織の資産、業務、評判に重大な損害を与える可能性があるインシデントの一例です。インシデント管理プロセスは、検出、分類、エスカレーション、回復、および終了の 5 つのステップで構成されます2。スタッフを他の支店に移動させるという措置は、通常のサービスを回復し、ビジネスへの影響を最小限に抑えることを目的とした復旧措置の一形態です。ただし、この措置は、火災による被害が完全に評価または抑制される前に講じられます。したがって、この措置は、インシデント管理プロセスにおいて、インシデントが発生してから被害が発生するまでの間に実施されます。参照: ISO/IEC 27000:2022、第 3.24 項。アトラシアン。