Explanation:
監査結果を判断するには、監査証拠を監査基準に照らして評価する必要があります。
* 監査証拠とは、監査意見または結論を形成するための基礎として使用される、監査プロセス中に監査人が入手した情報です12。監査証拠には、記録、文書、陳述、観察、インタビュー、またはテスト結果が含まれます12。
* 監査基準とは、監査証拠を比較する際の参照として使用される一連のポリシー、手順、基準、規制、または要件です12。監査基準は、ISO 規格、業界のベストプラクティス、法的義務など、内部または外部のソースから導き出すことができます12。
* 監査結果は、監査証拠を評価し、それを監査基準と比較するプロセスの結果です13。監査結果は、監査基準が満たされていること (適合)、または満たされていないこと (不適合) を示す場合があります。また、ベスト プラクティスや改善の機会を特定することもできます13。
参考文献:
※ ISO 19011:2022 マネジメントシステム監査ガイドライン
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* 監査結果の構成要素 - 内部監査人協会

説明
ISO/IEC 27001:2022、第 6.2 項によると、情報セキュリティ目標は、組織が情報セキュリティ管理システム (ISMS) を使用して達成しようとする具体的な結果です。この規格では、情報セキュリティ目標が次の基準を満たす必要があると規定しています。
それらは適切に伝達されなければなりません (A): 組織は、情報セキュリティ目標と、その目標を達成する際の役割と責任について、内部および外部の関係者に確実に知らせる必要があります。これは、情報セキュリティに対する意識、取り組み、説明責任を生み出すのに役立ちます。この基準は、ISO/IEC 27001:2022 の条項 6.2.2 に関連しています。
それらは文書化された情報として入手可能である必要があります (B): 組織は、情報セキュリティ目標に関する文書化された情報 (範囲、レベル、指標、期間など) を維持し、保持する必要があります。これは、情報セキュリティの証拠、追跡可能性、一貫性を提供するのに役立ちます。この基準は、ISO/IEC 27001:2022 の条項 6.2.1 に関連しています。
それらは IS ポリシー (G) と一致している必要があります。組織は、情報セキュリティ目標が、情報セキュリティに対する組織の意図と方向性のトップレベルの声明である情報セキュリティ ポリシーと一致していることを確認する必要があります。これは、戦略目標と組織の状況をサポートするのに役立ちます。この基準は ISO/IEC の第 5.2 項に関連しています。
27001:2022。
達成可能である必要があります (H): 組織は、利用可能なリソース、能力、制約を考慮して、情報セキュリティ目標が現実的かつ達成可能であることを確認する必要があります。これは、非現実的または実現不可能な期待を設定することを回避し、情報セキュリティの進捗状況とパフォーマンスを監視および測定するのに役立ちます。この基準は、ISO/IEC 27001:2022 の条項 6.2.1 に関連しています。
参考文献:
ISO/IEC 27001:2022、情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件1 PECB候補者ハンドブック ISO/IEC 27001 主任監査人2 ISO 27001:2022 主任監査人 - PECB3 ISO 27001:2022認定ISMS主任監査人 - Jisc4 ISO/IEC 27001 :2022 主任監査人移行トレーニング コース 5 ISO 27001 - 情報セキュリティ主任監査人コース - PwC トレーニング アカデミー 6

文書レビューは、現場監査活動の前に、マネジメントシステムに関連する文書化された情報を調査するプロセスです。文書レビューの目的は次のとおりです。 12 文書化されている限り、マネジメントシステムが監査基準に適合しているかどうかを判断します。つまり、文書が一貫性があり、完全であり、ISO/IEC の要件に準拠しているかどうかを確認します。
27001 およびその他の該当する規格または規制。
現場の監査活動をサポートするための情報を収集します。つまり、管理システムの範囲、目的、プロセス、管理、リスク、機会を特定し、それに応じて監査方法、技術、およびリソースを計画します。
他の記述は次の理由から正確ではありません。
文書レビューは、マネジメントシステム全体の適合性または不適合性を明らかにまたは決定するものではなく、文書化された情報のみを明らかにするものです。マネジメントシステムの適合性または不適合性は、面接、観察、およびテストを含む現場の監査活動によって決定されます12。文書レビューは、監査報告書や監査プロセスを裏付ける証拠や調査結果を収集するものではなく、現場の監査を裏付ける情報を収集します。現場監査活動。証拠または調査結果はオンサイト監査活動中に収集され、文書化されて報告されます12。文書レビューでは、文書化されている場合でも管理システムの不適合は検出されませんが、文書化された情報の適合性が判断されます。マネジメントシステムの不適合は、マネジメントシステムのパフォーマンスと有効性を評価するオンサイト監査活動によって検出されます12。 文書レビューでは、監査計画を裏付ける情報は特定されませんが、オンサイト監査活動を裏付ける情報が収集されます。 。監査計画は、監査の範囲、目的、基準、プログラムに基づいて、文書レビューの前に作成されます。文書レビューは監査計画実施の一部です12。
1: CQI および IRCA 認定トレーニングによる ISO/IEC 27001:2022 主任監査人 (情報セキュリティ マネジメント システム) コース 1 2: PECB による ISO/IEC 27001 主任監査人トレーニング コース 2

説明
システムへのアクセスを許可するプロセスのどの部分で、ユーザーはトークンを提示しますか? ユーザーはプロセスの識別部分でトークンを提示します。識別は、アイデンティティを主張するプロセス、またはシステムに識別子を提示するプロセスです。識別子は、人またはエンティティを表す一意の名前またはラベルです。トークンは、スマート カード、キー フォブ、QR コードなどの識別子を含む、または識別子を生成する物理的なデバイスまたはオブジェクトです。
ID は、アクセス要求を開始し、それを ID に関連付けるために使用されます。識別の後には、ID の主張を検証する認証と、付与されるアクセスのレベルを決定する認可が続きます。ISO/IEC 27001:2022 では、識別を「特定のコンテキストにおける識別子によるエンティティの認識」と定義しています (条項 3.29 を参照)。参考文献: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、[識別とは?]