説明
災害復旧計画を定期的にテストし、最新の状態に保つことは、災害発生時に講じられる対策と計画されたインシデント手順が適切かつ効果的であることを保証するために不可欠です6。災害復旧計画とは、組織が情報資産に影響を及ぼす災害に対応し、定められた時間枠内に重要な活動を再開できるようにするための一連の行動と取り決めを文書化したものです7。
しかし、災害復旧計画は、組織の環境、業務、リスク、またはリソースの変化により、時代遅れになったり、効果がなくなったりする可能性があります。したがって、計画を定期的にテストし、それに応じて更新して、その有効性、実現可能性、完全性、および正確性を検証する必要があります6。参考文献：ISO / IEC
27031:2011、条項 7.4 および 8.3、ISO/IEC 27000:2022、条項 3.11。

説明
情報セキュリティ管理システム（ISMS）を確立、実装、維持、および継続的に改善するための要件を規定するISO/IEC 27001:2022によれば、条項9.3では、組織のISMSが継続的に適切、妥当、および有効であることを確認するために、トップマネジメントが計画された間隔で組織のISMSを見直すことが求められています1。条項9.2では、組織が計画された間隔で内部監査を実施し、ISMSが自社の要件とISO/IEC 27001:2022の要件に準拠しているかどうか、また効果的に実装および維持されているかどうかに関する情報を提供することが求められています1。したがって、外部認証機関が到着する前に最終チェックとして監査プロセスと監査結果をレビューする際、内部ISMS監査人は、これらの条項が監査基準に従って満たされていることを確認する必要があります。
以下の記述のうち 6 つは、ISO/IEC 27001:2022 の要件への適合に関して懸念を引き起こす可能性があります。
* 監査プログラムでは、年間を通じて不定期に経営レビューが実施されていることが示されています。
この記述は、組織が条項 9.3 で要求されているように計画された間隔で管理レビューを実施していないことを示唆しているため、懸念を引き起こします。これは、ISMS の継続的な適合性、妥当性、有効性を確保するトップマネジメントの能力に影響を与える可能性があります。
* 監査プログラムは、情報セキュリティ プロセスの相対的な重要性を考慮していません。この記述は、組織が、管理システムの監査のガイドラインを提供する ISO 19011:2018 で推奨されているように、リスクベースのアプローチを適用して監査の頻度、方法、範囲、基準を決定していないことを示唆しているため、懸念を引き起こします2。これは、組織が ISMS の最も重要なリスクと機会を特定して対処する能力に影響を与える可能性があります。
* 各内部監査の範囲は定義されていますが、これまでに実施された監査の監査基準は定義されていません。この記述は、組織が条項 9.2 で要求されているように、各内部監査の監査基準を確立していないことを示唆しているため、懸念を引き起こします。監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、または要件です2。
監査基準がなければ、ISMS が独自の要件と ISO/IEC 27001:2022 の要件に準拠しているかどうかを判断することはできません。
* これまでの監査レポートでは、主要業績評価指標情報を使用して、ISMS プロセスの効率性のみに焦点を当ててきました。この記述は、組織が条項 9.1 で要求されているように ISMS プロセスの有効性を評価していないことを示唆しているため、懸念を引き起こします。有効性とは、計画された活動が実現され、計画された結果が達成される程度です2。効率性とは、達成された結果と使用されたリソースの関係です2。両方の側面は、ISMS のパフォーマンスと改善を測定および評価するために重要です。
* 監査プログラムでは、以前の監査の結果が考慮されていません。この記述は、組織が ISO 19011:20182 で推奨されているように、以前の監査の結果を後続の監査の計画と実施の入力として使用していないことを示唆しているため、懸念を引き起こします。これは、ISMS に関連する繰り返し発生する問題や未解決の問題、または不適合を特定して対処する組織の能力に影響を与える可能性があります。
* 監査プログラムによると、ISMS に対するトップマネジメントのコミットメントは認証訪問前に監査されません。この記述は、組織が、条項 5.1 で要求されているように、ISMS に関してトップマネジメントがリーダーシップとコミットメントを発揮していることを確認していないことを示唆しているため、懸念を引き起こします。これは、ISMS ポリシーと目標が確立され、組織の戦略的方向性と一致していること、関連する役割の役割、責任、権限が割り当てられ、伝達されていること、ISMS に必要なリソースが利用可能であること、情報セキュリティ問題に関するコミュニケーションが確立されていること、ISMS の継続的な改善が促進されていること、その他の関連する管理レビューが情報セキュリティのレビューと整合していること、および他の関連する役割にサポートが提供されていることをトップマネジメントが確実にする能力に影響を及ぼす可能性があります1。
その他の記述は、ISO/IEC 27001:2022 の要件への適合性に関して懸念を引き起こすものではありません。
* 監査レポートはハードコピー（紙）では保管されません。組織のイントラネット上に「.POF ドキュメント」としてのみ保存されます。この記述は ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。この規格では、監査レポートが条項 7.5 に従って管理されている限り、監査レポートを文書化または保存するための特定の形式やメディアは規定されていません。
* 監査プログラムでは、監査人が監査対象分野から独立していなければならないと規定しており、
* ISO/IEC 27001:2022 の要件: この記述は、ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。監査が ISO 19011:20182 に従って客観的かつ公平に実施される限り、この規格では監査人の独立性に関する特定の要件は規定されていません。
* 監査プログラムでは監査方法や監査責任について言及していません。この記述は ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。この規格では、監査方法や監査責任が ISO 19011:20182 に従って定義され、文書化されている限り、監査プログラムで監査方法や監査責任について言及するための特定の要件は規定されていません。
* 監査プロセスでは、監査の結果はトップマネジメントではなく「関連する」マネージャーに提供されると規定されています。この記述は、ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されることはありません。この規格では、9.3 項に従って監査結果が関係者に報告され、マネジメントレビューの入力として使用される限り、監査結果をトップマネジメントに伝達するための特定の要件は規定されていません。
参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO 19011:2018 - 管理システム監査のガイドライン

Explanation:

管理システム監査の目的は、組織の管理システムのパフォーマンスを評価することです。
マネジメント システム監査は、企業の全体的な活動とパフォーマンスを独立して体系的に分析および評価することです1。これは、企業の効率、機能、成果、および業績を判断するために使用される貴重なツールです1。マネジメント システム監査は、既存の ISO 規格2 で設定された要件を含む (ただし、これらに限定されない) さまざまな監査基準に照らして実施できます。
管理システム監査のガイドラインである ISO 19011:2018 によれば、監査の目的は、監査人が監査目標2 に関連した監査結論を提供できるようにすることです。監査目標は監査クライアントによって定義され、監査基準に対する監査対象の管理システムの適合または不適合の程度の判定、組織が適用される法定、規制、契約上の要件を満たすことを保証するための監査対象の管理システムの能力の評価、監査対象の管理システムの潜在的な改善機会の特定、監査対象の管理システムの継続的な改善の促進などが含まれます。
したがって、正解は「評価」です。これは、管理システム監査の目的を最もよく表しているからです。その他の選択肢は、十分に具体的でなかったり、監査の意図した結果を反映していないため、不正解です。たとえば、「改善」は、監査自体が管理システムのパフォーマンスを向上させることを意味しますが、これは必ずしも真実ではありません。「管理」は、監査が管理システムを制御または指示することを意味しますが、これは監査の役割ではありません。「調査」は、監査が管理システムに関する新しい知識または情報を生成することを意味しますが、これは監査の主な目的ではありません。

説明

* 第三者監査チームリーダーとは、他の組織に認証または認定サービスを提供する認証機関などの外部組織に代わって監査を実施する監査チームを率いる人物です12。
* 第三者監査チームリーダーの主な責任の 1 つは、認証機関に代わって行動することであり、これは監査プロセス中に認証機関の利益、ポリシー、および手順を代表することを意味します12。
* 認証機関に代わって行動するということは、監査クライアントおよび監査対象者とのコミュニケーション、監査の計画と実施、監査結果の報告と評価、および認証または認定の決定に関する推奨を行うことが含まれます12。
* 認証機関に代わって行動する場合には、監査プロセス全体を通じて専門的な誠実性、公平性、機密性、能力を維持することも必要です12。
参考文献 :
* ISO 19011:2022 監査管理システムのガイドライン
* ISO/IEC 17021-1:2022 適合性評価 - マネジメントシステムの監査および認証を提供する機関に対する要求事項 - パート1: 要求事項