ISO/IEC 27001:2022 などのベストプラクティスや標準に準拠した情報セキュリティ管理システム (ISMS) 監査の実施方法を最もよく表すオプションは次のとおりです。
D) 監査方法を使用して客観的な証拠を評価し、監査結果を生成します。その後、監査結論を作成し、最終会議で監査対象者に提示します。
このオプションは監査プロセスを正確に反映しており、客観的な証拠を評価するための体系的な監査方法の使用を強調しています。これは、監査の公平性と正確性にとって非常に重要です。監査結果は、客観的な証拠を監査基準に照らして評価した結果です。監査結果に基づく結論は、監査結果の包括的な要約を提供し、監査対象の ISMS が確立された基準を満たしているかどうかを示します。これらの結論を最終会議中に監査対象者に提示することで、透明性が確保され、結果と潜在的な次のステップについてすぐに説明して議論する機会が提供されます。

説明
監査手法とは、監査人が監査証拠を取得するために使用する手法です。監査手法は、人間とのやり取りを伴うものと伴わないものの 2 つに分類できます2。人間とのやり取りを伴う監査手法では、インタビュー、アンケート、調査、会議など、監査人と被監査者またはその他の関係者との直接のコミュニケーションが必要です。人間とのやり取りを伴わない監査手法では、観察、検査、測定、テスト、サンプリング、分析などに依存し、口頭または書面によるやり取りは必要ありません2。したがって、監査の準備として手順を独自にレビューしたり、監査の指摘事項に対する被監査者の対応を確認したりすることは、被監査者またはその他の情報源から提供された文書を読んで評価する必要があるため、人間とのやり取りを伴う監査手法の例です。一方、被監査者のサーバーにリモート アクセスしてデータを分析したり、リモート監視によって行われた作業を観察したりすることは、被監査者またはその他の関係者との直接のコミュニケーションを必要としないため、人間とのやり取りを伴わない監査手法の例です。参考文献: ISO/IEC 27001:2022 主任監査人 (情報セキュリティ管理システム) | CQI | IRCA

説明
* 重大な不適合の場合、フォローアップ監査を実施することができます。重大な不適合とは、組織の管理システムが意図した結果を達成する能力に重大な疑問が生じる状況であり、そのため、即時の是正措置が必要となるためです。フォローアップ監査は、是正措置の有効性と管理システムの適合性を検証するために必要です12。
* 不適合が軽微な場合は、フォローアップ監査を実施することができます。これは、軽微な不適合とは、マネジメントシステムが意図した結果を達成する能力には影響しないものの、指定された要求事項からの逸脱を表す状況であるためです。フォローアップ監査は、是正処置の実施とマネジメントシステムの改善を確認するために実施することができます12。
* フォローアップ監査の結果は、トップマネジメントと、不適合が最初に特定された監査を実施した監査チームリーダーに報告する必要があります。これは、トップマネジメントが管理システムの有効性と継続的改善を確保する責任があり、監査チームリーダーが監査プロセスと監査結論に責任を負うためです。フォローアップ監査レポートには、不適合の状態と被監査者が講じた是正措置に関する客観的な証拠が提供されるべきです13。
* フォローアップ監査の結果は、監査プログラムを管理する個人と監査クライアントに報告する必要があります。これは、監査プログラムを管理する個人が監査活動の計画、実施、監視、およびレビューの責任を負い、監査クライアントが監査を依頼する組織または個人であるためです。フォローアップ監査レポートでは、フォローアップ監査の結果と、監査対象者の認証ステータスの変更について、彼らに通知する必要があります13。
参考文献 :
* ISO 19011:2022 監査管理システムのガイドライン
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* ISO/IEC 17021-1:2022 適合性評価 - マネジメントシステムの監査および認証を提供する機関に対する要求事項 - パート1: 要求事項

説明
以下は、ビジネス資産の増大を除く情報セキュリティの目的です。ビジネス資産の増大は、情報やシステムを脅威やリスクから保護することに直接関係しないため、情報セキュリティの目的ではありません。情報セキュリティは、顧客の信頼、評判、コンプライアンス、効率性を高めることでビジネス資産の増大に貢献する可能性がありますが、それが主な目標ではありません。ビジネス継続性の確保は、情報やシステムに影響を与えるインシデントによって引き起こされる混乱や損失を防止または最小限に抑えることを目的としているため、情報セキュリティの目的です。ビジネスリスクの最小化は、情報やシステムを危険にさらす可能性のある脅威や脆弱性を特定して軽減することを目的としているため、情報セキュリティの目的です。
投資収益率を最大化することは情報セキュリティの目的の1つであり、情報セキュリティ管理策と対策の実装と維持にかかるコストと利益を最適化することを目的としています。参考文献：CQI & IRCA ISO 27001:2022 主任審査員コースハンドブック、23ページ。[ISO/IEC 27001 パンフレット | PECB]、ページ
4.

Explanation:

この文を最もよく完成させる言葉は「実証する」です。ISO/IEC 27001:2022 の 7.5 項によると、組織はプロセスのパフォーマンスと製品およびサービスの要件への適合の証拠として文書化された情報を保持する必要があります1。文書化された情報を保持する目的は、管理システム標準の要件への適合を実証することであり、それを維持、監査、または認証することではありません。参考文献: 1: ISO/IEC 27001:2022、情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、7.5 項