能力成熟度モデル (CMM) は、効果的なソフトウェア プロセスの重要な要素を説明するフレームワークです。ソフトウェア開発組織の成熟度を、初期から最適化まで 5 つのレベルに定義します。CMM は、組織が現在のプロセス能力レベルを評価し、改善すべき領域を特定するのに役立ちます1。参照: ISO/IEC 27001:2022 主任監査人 - IECB

説明
監査レポートは、監査対象の ISMS とそのパフォーマンスに関する機密情報を含む機密文書です。監査チームには、監査レポートの機密性を保護し、監査クライアント、認証機関、認定機関などの権限のある関係者にのみ開示する義務があります。したがって、次の応答は誤りです。
* 回答: 監査チームは、監査クライアントの同意なしにレポートを第三者に公開することはできません。これは、機密保持契約および監査行動規範に違反することになります。監査チームは、レポートを第三者に公開する前に必ず監査クライアントに通知し、明示的な事前承認を得る必要があります。
* F: 監査組織に雇用されているすべての監査人が監査レポートにアクセスできるわけではありません。これは、知る必要があるという原則に違反するからです。監査チームリーダー、監査チームメンバー、監査プログラムマネージャー、認証決定者など、監査プロセスに関与する監査人だけが監査レポートにアクセスできます。監査に関係のない他の監査人にはレポートにアクセスする正当な理由がないため、適切なセキュリティ対策によってアクセスを防止してください。
* G: 機密保持義務は一定期間が経過しても失効しません。監査プロセスの信頼性と完全性が損なわれる可能性があるためです。監査報告書は、以下の場合を除き、無期限に機密扱いされます。
* 開示する法的義務または契約上の義務がある場合、または監査クライアントが開示することに同意している場合。第三者は、監査クライアントと監査対象者のプライバシーとデータ保護の権利を侵害するため、主体によるアクセス要求を行って監査レポートにアクセスすることはできません。
* H: 下請け監査人は監査チームの一員であり、監査組織と契約関係にあるため、機密保持に関しては第三者とはみなされません。下請け監査人は通常、雇用された監査人と同じ機密保持契約および監査行動規範に拘束され、監査報告書にアクセスして保護する同じ権利と責任を持ちます。
参照:
* ISO/IEC 27001:2022、条項9.2、内部監査
* ISO/IEC 27006:2015、条項7.2.3、機密保持
* PECB候補者ハンドブック ISO 27001主任監査人、22ページ、監査報告書
* PECB候補者ハンドブックISO 27001主任監査員、24ページ、監査行動規範

情報セキュリティ管理システム（ISMS）を確立、実装、維持、および継続的に改善するための要件を規定するISO/IEC 27001:2022によれば、条項9.3では、組織のISMSが継続的に適切、妥当、および有効であることを確認するために、トップマネジメントが計画された間隔で組織のISMSを見直すことが求められています1。条項9.2では、組織が計画された間隔で内部監査を実施し、ISMSが自社の要件とISO/IEC 27001:2022の要件に準拠しているかどうか、また効果的に実装および維持されているかどうかに関する情報を提供することが求められています1。したがって、外部認証機関が到着する前に最終チェックとして監査プロセスと監査結果をレビューする際、内部ISMS監査人は、これらの条項が監査基準に従って満たされていることを確認する必要があります。
以下の記述のうち 6 つは、ISO/IEC 27001:2022 の要件への適合に関して懸念を引き起こす可能性があります。
* 監査プログラムでは、年間を通じて不定期に経営レビューが実施されていることが示されています。
この記述は、組織が条項 9.3 で要求されているように計画された間隔で管理レビューを実施していないことを示唆しているため、懸念を引き起こします。これは、ISMS の継続的な適合性、妥当性、有効性を確保するトップマネジメントの能力に影響を与える可能性があります。
* 監査プログラムは、情報セキュリティ プロセスの相対的な重要性を考慮していません。この記述は、組織が、管理システムの監査のガイドラインを提供する ISO 19011:2018 で推奨されているように、リスクベースのアプローチを適用して監査の頻度、方法、範囲、基準を決定していないことを示唆しているため、懸念を引き起こします2。これは、組織が ISMS の最も重要なリスクと機会を特定して対処する能力に影響を与える可能性があります。
* 各内部監査の範囲は定義されていますが、これまでに実施された監査の監査基準は定義されていません。この記述は、組織が条項 9.2 で要求されているように、各内部監査の監査基準を確立していないことを示唆しているため、懸念を引き起こします。監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、または要件です2。
監査基準がなければ、ISMS が独自の要件と ISO/IEC 27001:2022 の要件に準拠しているかどうかを判断することはできません。
* これまでの監査レポートでは、主要業績評価指標情報を使用して、ISMS プロセスの効率性のみに焦点を当ててきました。この記述は、組織が条項 9.1 で要求されているように ISMS プロセスの有効性を評価していないことを示唆しているため、懸念を引き起こします。有効性とは、計画された活動が実現され、計画された結果が達成される程度です2。効率性とは、達成された結果と使用されたリソースの関係です2。両方の側面は、ISMS のパフォーマンスと改善を測定および評価するために重要です。
* 監査プログラムでは、以前の監査の結果が考慮されていません。この記述は、組織が ISO 19011:20182 で推奨されているように、以前の監査の結果を後続の監査の計画と実施の入力として使用していないことを示唆しているため、懸念を引き起こします。これは、ISMS に関連する繰り返し発生する問題や未解決の問題、または不適合を特定して対処する組織の能力に影響を与える可能性があります。
* 監査プログラムによると、ISMSに対するトップマネジメントのコミットメントは認証訪問前に監査されません。この声明は、組織が、条項5.1で要求されているように、ISMSに関してトップマネジメントがリーダーシップとコミットメントを発揮していることを確認していないことを示唆しているため、懸念を引き起こします。これは、ISMSポリシーと目標が確立され、組織の戦略的方向性と互換性があることを保証するトップマネジメントの能力に影響を与える可能性があります。
* 関連する役割の責任と権限が割り当てられ、伝達されていること、ISMS に必要なリソースが利用可能であること、情報セキュリティ問題に関するコミュニケーションが確立されていること、ISMS の継続的な改善が促進されていること、その他の関連する管理レビューが情報セキュリティのレビューと整合していること、その他の関連する役割にサポートが提供されていること1。
その他の記述は、ISO/IEC 27001:2022 の要件への適合性に関して懸念を引き起こすものではありません。
* 監査レポートはハードコピー（紙）では保管されません。組織のイントラネット上に「.POF ドキュメント」としてのみ保存されます。この記述は ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。この規格では、監査レポートが条項 7.5 に従って管理されている限り、監査レポートを文書化または保存するための特定の形式やメディアは規定されていません。
* 監査プログラムでは、ISO/IEC 27001:2022 の要件を満たすために、監査人が監査対象領域から独立していることが義務付けられています。この記述は、ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。監査が ISO 19011:20182 に従って客観的かつ公平に実施される限り、この規格では監査人の独立性に関する特定の要件は規定されていません。
* 監査プログラムでは監査方法や監査責任について言及していません。この記述は ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されるものではありません。この規格では、監査方法や監査責任が ISO 19011:20182 に従って定義され、文書化されている限り、監査プログラムで監査方法や監査責任について言及するための特定の要件は規定されていません。
* 監査プロセスでは、監査の結果はトップマネジメントではなく「関連する」マネージャーに提供されると規定されています。この記述は、ISO/IEC 27001:2022 の要件に違反するものではないため、懸念されることはありません。この規格では、9.3 項に従って監査結果が関係者に報告され、マネジメントレビューの入力として使用される限り、監査結果をトップマネジメントに伝達するための特定の要件は規定されていません。
参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO 19011:2018 - 管理システム監査のガイドライン

ISMS 第三者認証監査基準として使用される 2 つの標準は、ISO/IEC 27001 と関連する法律、法令、規制要件です。ISO/IEC 27001 は、情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定しています1。関連する法律、法令、規制要件は、組織の情報セキュリティの側面と目標に適用されるものです2。その他のオプションは、標準ではない (E) か、ISMS 認証監査基準に直接関連しない (A、B、C、F) です。参考文献: 1: ISO/IEC 27001:2022、情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、条項 1
\n2: ISO/IEC 27001:2022、情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、条項 4.2

Explanation:
ISO/IEC 27001:2022 の情報管理システムにアクセス権を含める目的は、組織のアクセス制御のポリシーとルールに従って、これらの権限を提供、確認、変更、削除することです。
アクセス権とは、情報資産にアクセス、使用、変更、または削除するためにユーザーまたはユーザー グループに付与される権限です。アクセス権は、情報システムへのアクセスを管理するための目的、原則、役割、および責任を定義する組織のアクセス制御ポリシーと整合させる必要があります。
アクセス権は、組織のアクセス制御ルールにも従う必要があります。このルールでは、アクセス権の付与、確認、変更、取り消しの基準、手順、制御が指定されています。情報管理システムにアクセス権を含める目的は、ビジネス ニーズと役割に応じて、承認されたユーザーのみが情報資産にアクセスできるようにし、情報資産の機密性、整合性、可用性を損なう可能性のある不正アクセスや不適切なアクセスを防ぐことです。参考資料:
ISO/IEC 27001:2022 附属書A 管理5.181
ISO/IEC 27002:2022 管理 5.182
CQI & IRCA 認定 ISO/IEC 27001:2022 主任監査員（情報セキュリティ管理システム）トレーニングコース3