警備員は、お客様に ID バッジの提示とバッグのチェックを求める権利を有します。この記述は真実です。これは、組織が情報および情報処理施設への不正な物理的アクセス、損傷、妨害を防ぐために実施する物理的セキュリティ対策の一部です。警備員は、施設に出入りする人の身元と権限を確認する権限、および情報または情報処理機器が入っている可能性のあるバッグやアイテムを検査する権限を有します。これは、情報や資産が不正な人物によって盗難、紛失、損傷、または侵害されないようにするために行われます。ISO/IEC 27001:2022 では、組織の情報および情報処理施設への不正な物理的アクセス、損傷、妨害を防ぐために、組織が物理的および環境的セキュリティ管理を実施することを要求しています (条項 A.11 を参照)。参考資料: CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、物理的セキュリティとは?

正しい 2 つの記述は B と E です。ISO 19011:2022 によれば、監査計画は特定の期間内に計画され、特定の目的に向けた 1 つ以上の監査のセットの取り決めを記述するものであり1、監査プログラムは監査の活動と取り決めを記述するものです2。その他の選択肢は誤りか無関係です。監査プログラムを管理する責任は監査プログラム マネージャーにあり、監査チーム リーダーにはないものです (A)3。監査計画は、必要に応じて監査クライアントと監査対象者の合意を得て、監査の実施中に変更できます 4。監査プログラムと監査計画は同じものではないため、D と F は誤りです。参考文献: 1: ISO 19011:2022、マネジメント システム監査のガイドライン、条項 3.8 \n2: ISO 19011:2022、マネジメント システム監査のガイドライン、条項
3.9 \n3: ISO 19011:2022、マネジメントシステムの監査に関するガイドライン、条項 5.3.1 \n4: ISO 19011:2022、マネジメントシステムの監査に関するガイドライン、条項 6.4.2

IT サポート チームから個人情報を尋ねるメールが届いた場合の最善の対応は、メールに返信せず、上司に報告することです。このメールはフィッシングの試みである可能性が高いです。フィッシングは、欺瞞的なメールやその他のメッセージを使用して受信者を騙し、パスワード、クレジットカード番号、銀行口座の詳細などの機密情報を明らかにさせるソーシャル エンジニアリングの一種です。フィッシング メールは、正当な組織や個人になりすまし、緊急感や好奇心を煽って被害者を誘惑し、悪意のあるリンクをクリックさせたり、悪意のある添付ファイルを開いたり、個人情報を提供させたりします。
IT サポート チームは、電子メールでパスワードやその他の個人情報を尋ねることは絶対にしないでください。これは、情報セキュリティ ポリシーとベスト プラクティスに違反する行為です。電子メールを無視したり、パスワードを誰とも共有しないでくださいと返信したりしても、IT サポート チームや上司にフィッシングの試みを知らせず、他のユーザーにも影響を与える可能性があるため、十分な対応とは言えません。上司に電子メールを報告することは、さらなる損害や情報の漏洩を防ぐのに役立つ責任ある行動です。ISO/IEC 27001:2022 では、組織が認識プログラムとトレーニング プログラムを実施して、フィッシングなどのソーシャル エンジニアリング攻撃のリスクとその回避方法をユーザーに認識させることが求められています (条項 A.7.2.2 を参照)。参考資料: CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース、ISO/IEC 27001:2022 情報技術 - セキュリティ手法 - 情報セキュリティ管理システム - 要件、フィッシングとは?

文書レビューは、現地監査活動の前に、管理システムに関連する文書化された情報を検査するプロセスです。文書レビューの目的は、文書化された管理システムが監査基準に準拠しているかどうかを判断することです。つまり、文書が一貫しており、完全であり、ISO / IECの要件に準拠しているかどうかを確認することです。
27001 およびその他の適用可能な規格または規制。
オンサイト監査活動をサポートするための情報、すなわち管理システムの範囲、目的、プロセス、管理、リスク、機会を特定し、それに応じて監査方法、手法、リソースを計画するための情報を収集します。
その他の記述は正確ではありません。理由は次のとおりです。
文書レビューでは、マネジメント システム全体の適合性または不適合性を明らかにしたり決定したりすることはできず、文書化された情報のみが対象となります。マネジメント システムの適合性または不適合性は、インタビュー、観察、テストなどの現地監査活動によって決定されます12。文書レビューでは、監査レポートまたはプロセスをサポートする証拠や調査結果は収集されませんが、現地監査活動をサポートする情報が収集されます。証拠または調査結果は、現地監査活動中に収集され、その後、文書化されて報告されます12。文書レビューでは、マネジメント システムの不適合が文書化されている場合は検出されませんが、文書化された情報の適合性が決定されます。マネジメント システムの不適合性は、マネジメント システムのパフォーマンスと有効性を評価する現地監査活動によって検出されます12。文書レビューでは、監査計画をサポートする情報が特定されることはありません。文書レビューは監査計画の実施の一部である12 参考文献:
1: CQIおよびIRCA認定トレーニングによるISO/IEC 27001:2022主任審査員（情報セキュリティ管理システム）コース1 2: PECBによるISO/IEC 27001主任審査員トレーニングコース2