説明
マネジメントシステム監査のガイドラインを規定する ISO 19011:2018 によると、第 6.7 項では、監査チームのリーダーに対し、監査中に特定された不適合に対応して被監査者がとった是正措置の実施と有効性を検証するためのフォローアップ監査を実施することを義務付けています。前回の監査1. フォローアップ監査は、初回監査と同じ原則およびプロセスに従って実施され、不適合の状況および残っている問題について結論が得られる必要があります1。
したがって、フォローアップ監査を実施する場合、ISMS 監査人は次のアクションを考慮する必要があります。
* 顕著な軽微な不適合は次回の監視監査で対処することを推奨する: この措置は、被監査者が重大な不適合を含むほとんどの不適合を解消し、未解決の軽微な不適合が 1 つだけ残っているという事実を反映しているため、適切です。軽微な不適合とは、ISO/IEC 27001:2022 の 1 つ以上の要件を達成できないこと、または ISMS プロセスが意図した成果を達成する能力に重大な疑問を引き起こす状況として定義されますが、全体的な有効性や適合性には影響しません2 。したがって、この発見は、妥当な期間内に適切な是正措置によって対処される限り、認証の継続を妨げたり妨げたりするものではありません。監査人は、顕著な軽微な不適合を次回の監視監査で処理することを推奨する必要があります。監視監査は、ISMS3 の継続的な適合性と有効性を確認するために認証機関によって実施される定期的な監査です。
* 残りの不適合をいつ、いつまでに、どのように解消するかについて被監査者/監査依頼者と合意する: この措置は、被監査者が不適合に対する是正措置を実施するコミットメントと能力を示しているという事実を反映しているため、適切である。前回の監査中に特定された不適合。監査人は、明確な期限と検証方法を含む、残りの不適合に対する現実的で達成可能かつ効果的な是正措置計画について被監査者/監査依頼者と合意する必要があります。監査人は、この合意をフォローアップ監査報告書にも文書化する必要があります1。
* 顕著な不適合に関して行われた決定について、監査プログラムを管理する個人に通知する: この措置は、監査人がフォローアップ監査の実施と報告に関して体系的かつ一貫したアプローチに従っているという事実を反映しているため、適切です。監査人は、次回の監視監査で不適合を閉鎖することを推奨したり、被監査者/監査依頼者と是正措置計画に同意したりするなど、未解決の不適合に関して下された決定について、監査プログラムを管理する個人に通知する必要があります。監査人はまた、その決定を裏付ける十分な情報と証拠を提供する必要があります1。
*組織が提起された不適合を解消することに取り組んでいることを実証したため、フォローアップ監査を終了する:組織がフォローアップ監査で満足のいく結果を達成したという事実を反映しているため、このアクションは適切です。組織は、指摘された不適合の大部分に対して効果的な是正措置を実施し、残りの不適合に対する計画に同意することで、指摘された不適合を解消することに取り組んでいることを実証したため、監査人はフォローアップ監査を終了する必要があります。監査人はまた、フォローアップ監査の結論を被監査者/監査依頼者およびその他の関係者に通知する必要があります1。

監査プログラムの目的、範囲、基準の確立
監査チームのメンバー、予算、時間、ツールなど、監査プログラムに必要なリソースを決定します。
監査チームのリーダーと監査人の選定と任命
監査計画と取り決めのレビューと承認
監査人、被監査者、認証機関、認定機関などの監査プログラムの関係者間の効果的なコミュニケーションと調整を確保する。
監査プログラムの進捗状況について、特に重大な変更、問題、または不適合があった場合に、認定機関に常に情報を提供する 監査プログラムおよび監査チームのパフォーマンスと結果を監視およびレビューする 被監査者およびその他の人々のフィードバックと満足度を評価する利害関係者 監査プログラムの改善機会の特定と実施 監査プログラムを管理する個人は、以下のタスクについては責任を負わず、監査チームのリーダーまたは監査人に委任されています12。
開始および終了会議の開催、監査関連の問題の解決、監査結果の報告など、監査中の被監査者とのコミュニケーション。
機密性、公平性、同意、責任など、各監査に適用される法的要件を決定します。
監査プログラムから導出され、被監査者と合意された個別監査の目的、範囲、基準を定義する。 監査スケジュール、監査活動、監査方法、監査文書、監査計画を含む個別監査の計画を定義する。等
参考文献:
ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
PECB 候補者ハンドブック ISO 27001 主任監査員、19 ～ 20 ページ

組織のコンテキストとは、組織が運営され、情報セキュリティ管理システム (ISMS) を定義するビジネス環境です。これには、組織の情報セキュリティの目的、戦略、ポリシーに影響を与える可能性のある内部および外部の要因や条件が含まれます。組織のコンテキストは、組織が ISMS の範囲、境界、要件、および関係者とその期待を特定するのに役立ちます。組織の状況は、組織構造、文化、価値観、使命、ビジョン、目的、戦略、リソース、能力、プロセス、活動、製品、サービス、市場、顧客、競合他社などの内部および外部の問題の両方を考慮することによって決定されます。 、サプラ​​イヤー、パートナー、規制当局、法律、規制、標準、ガイドライン、ベストプラクティス、リスク、機会、脅威、脆弱性など。 参考文献: ISO 27001:2022 第 4 条 組織のコンテキスト、ISO 27001 要件 4.1 - 組織のコンテキストの理解組織、組織の ISO 27001 コンテキスト - 定義方法 - Advisera

説明
情報セキュリティ管理システム (ISMS) の確立、実装、維持、および継続的改善の要件を指定する ISO/IEC 27001:2022 によると、第 7.2 項では、組織は、その管理下で業務に影響を与える作業を行う人の必要な能力を判断することが求められています。 ISMS のパフォーマンスを評価し、必要な能力を取得または維持するためのトレーニングの提供やその他の措置を講じます1。管理 A.6.3 では、すべての従業員と請負業者が情報セキュリティの脅威と懸念、責任と義務を認識し、この点で組織のポリシーと手順をサポートする準備が整っていることを組織に義務付けています2。したがって、ISMS 監査人が情報セキュリティ インシデント トレーニングの有効性を改善できると判断した場合、これは第 7.2 項および統制 A.6.3 に関連する改善の機会 (OFI) を示します。
ISO/IEC 27001:2022 によると、9.1 項では、組織が ISMS のパフォーマンスと有効性を監視、測定、分析、評価することを義務付けています1。管理 A.5.24 では、組織が情報セキュリティ イベントと弱点を報告するための手順を定義して適用することが求められています2。したがって、ISMS監査人が、サンプリングインタビュー結果に基づいて、インタビュー対象者の誰も、担当者の役割と責任を含むインシデント管理手順の報告プロセスを説明できなかったと判断した場合、これは9.1項に準拠していない不適合(NC)を示します。およびコントロール A.5.24。
他のオプションは、指定された情報に基づいて監査結果を準備するための正しいオプションではありません。たとえば、情報セキュリティの弱点、イベント、インシデントが報告された場合、これは第 9.1 条および管理 A.5.24 に準拠しているため、不適合とはなりません。情報セキュリティ取り扱いトレーニングが実施され、その有効性が評価された場合、これは第 7.2 項および管理 A.6.3 に準拠しているため、不適合はありません。情報セキュリティインシデントのトレーニングが失敗した場合でも、不適合はありません。これは、必ずしも第 7.2 条または管理 A.6.3 への適合の欠如を示しているわけではないためです。情報セキュリティの弱点、イベント、インシデントが報告された場合、これはすでに第 9.1 条および管理 A.5.24 に準拠しているため、改善の余地はありません。参考資料: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO/IEC 27002:2013 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実践規範