本質的な脆弱性とは、データ処理ツールが配列の境界チェックを実行できないなど、システムまたはツールに固有の弱点を指します。この特性により、システムはバッファオーバーフローなどの問題に影響を受けやすくなり、クラッシュやその他の種類の障害につながる可能性があります。参考文献: = 本質的な脆弱性の概念は、特定の脆弱性がシステムに組み込まれており、外部要因の影響を受けないという理解に基づいています。これは、情報セキュリティ管理システムの一般原則と、ISMS ISO/IEC 27001 主任監査員トレーニングおよび認定プログラムで通常カバーされる内容と一致しています。

監査チーム リーダーの役割には、倫理委員会の設置は含まれません。監査チーム リーダーの主な責任には、監査の計画、監査チームの活動の指揮、監査基準の遵守の確保、監査中に生じる対立の管理、監査結論の提示などがあります。
参照: ISO 19011:2018 マネジメントシステム監査ガイドライン

チェックリストは、監査人が監査の目的と範囲に関連する情報を収集し、検証するのに役立つツールです。次のような利点があります。
* 関連する監査証跡が確実に守られる: チェックリストは、監査人が監査基準への適合または不適合を裏付ける証拠のソースを特定して追跡するのに役立ちます。また、監査人が監査の重要な側面を見逃したり見落としたりしないようにするのにも役立ちます。
* 監査計画の実施を確実にする: チェックリストは、監査人が監査計画に従い、それを遂行するのに役立ちます。
* 監査の目的、範囲、基準、スケジュール、役割、責任など、監査の取り決めと詳細を説明します。また、監査人が時間とリソースを効果的かつ効率的に管理するのにも役立ちます。
その他のオプションは、チェックリストを使用する利点ではありませんが、次のような利点があります。
* 毎回の監査で同じチェックリストをレビューなしで使用すること: これはチェックリストを使用することの欠点であり、監査アプローチが硬直的で非効率的になる可能性があります。チェックリストは、監査対象者の状況、リスク、変更、および監査基準を考慮して、各監査に合わせてカスタマイズおよび調整する必要があります。また、チェックリストは、その有効性と関連性を確保するために定期的にレビューおよび更新する必要があります。
* インタビューを指名された関係者に限定する: これは、チェックリストを使用することの欠点です。監査の範囲と深さが制限される可能性があるからです。チェックリストは、監査人が監査に貴重な証拠や洞察を提供する可能性のある他の関連関係者や情報源にインタビューすることを妨げてはなりません。チェックリストは、制約としてではなく、ガイドとして使用する必要があります。
* 監査期間の短縮: これは、監査対象の ISMS の複雑さ、規模、成熟度、証拠の可用性と品質、監査人の能力と経験、監査人と監査対象者間の協力とコミュニケーションのレベルなど、さまざまな要因に依存するため、チェックリストを使用することによる利点とは必ずしも言えません。チェックリストは、効率と組織を改善することで監査期間を短縮するのに役立ちますが、より多くの証拠や検証を必要とするため、監査期間が長くなる可能性もあります。
* 必要なときにチェックリストから外れない: これはチェックリストを使用することの欠点であり、表面的または不完全な監査につながる可能性があります。チェックリストは、たとえチェックリストに含まれていなくても、監査中に発生する問題や懸念事項を監査人が調査または検討することを妨げてはなりません。チェックリストは、代替ではなくサポートとして使用する必要があります。
参考文献:
* ISO/IEC 27001:2022 主任監査人（情報セキュリティ管理システム）の目標とコンテンツ（Quality.org および PECB より）
* ISO 19011:2018 マネジメントシステムの監査に関するガイドライン [セクション 6.2.2]

説明
監査結果を決定するには、監査証拠を監査基準に照らして評価する必要があります。
監査証拠とは、監査人が監査プロセス中に入手した情報であり、監査意見または結論を形成するための基礎として使用されます12。監査証拠には、記録、文書、声明、観察、インタビュー、またはテスト結果が含まれます12。
監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、規制、または要件です12。監査基準は、ISO 標準、業界のベスト プラクティス、法的義務などの内部または外部の情報源から導き出される可能性があります12。
監査結果は、監査証拠を評価し、それを監査基準13と比較するプロセスの結果です。監査結果は、監査基準が満たされている (適合) か、満たされていない (不適合) かを示します。また、ベスト プラクティスや改善の機会を特定することもできます13。
参考文献 :
ISO 19011:2022 監査管理システムのガイドライン
ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 監査結果の要件コンポーネント - 内部監査人協会