情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定する ISO/IEC 27001:2022 によれば、組織は情報セキュリティ目標を達成するために適切なコントロールを選択して実装する必要があります1。コントロールは、リスク評価とリスク処理の結果から導き出され、ISMS に適用可能かつ必要なコントロールを特定する文書である適用性ステートメント (SoA) と一致している必要があります1。コントロールは、情報セキュリティコントロールの実践規範を提供する ISO/IEC 27002:2013 など、さまざまなソースから選択できます2。したがって、トレーニング中の監査人が、外部クライアントに代わってデータを保存する組織のサイトで SoA にリストされ実装されている技術的コントロールを確認する任務を負っている場合、確認することが期待される 4 つのコントロールは次のとおりです。
マルウェアに対する保護の実装方法: これは、情報または情報システムの機密性、整合性、または可用性を損なう可能性のある悪意のあるソフトウェア (ウイルス、ワーム、ランサムウェアなど) を防止、検出、および削除することを目的とした技術的な制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.12.2.1 に関連しています。
組織が技術的脆弱性への露出を評価する方法: これは、悪意のある行為者によって悪用されたり、偶発的な障害を引き起こしたりする可能性のある情報システムまたはネットワークの潜在的な弱点や欠陥を特定して評価することを目的とした技術的制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.12.6.1 に関連しています。
ソース コードと開発ツールへのアクセスの管理方法: これは、組織またはその外部プロバイダーによって開発または保守されるソフトウェア アプリケーションまたはシステムの知的財産権と整合性を保護することを目的とした技術制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.14.2.5 に関連しています。
サイトの CCTV およびドア制御システムの運用: これは、情報または情報システムが保存または処理される建物または施設への物理的なアクセスを監視および制限することを目的とした技術制御です2。この制御は、ISO/IEC 27002:2013 の制御 A.11.1.4 に関連しています2。
その他のオプションは、技術的な制御の例ではなく、ISMS 監査にも関連する可能性がある組織的、法的、または手続き的な制御ですが、トレーニング中の監査人のタスクの範囲外です。たとえば、情報資産インベントリの開発と保守 (コントロール A.8.1.1 に関連)、組織内および他の組織への情報転送のルール (コントロール A.13.2.1 に関連)、機密保持契約および非開示契約 (コントロール A.13.2.4 に関連)、従業員の確認チェック (コントロール A.7.1.2 に関連)、リモート ワークの取り決め (コントロール A.6.2.1 に関連)、サプライヤー契約内の情報セキュリティ (コントロール A.15.1.1 に関連)、事業継続の取り決め (コントロール A.17 に関連)、情報の削除 (コントロール A.8.3 に関連)、情報セキュリティの認識、教育、トレーニング (コントロール A.7.2 に関連)、機器のメンテナンス (コントロール A.11.2 に関連)、および電源ケーブルとデータ ケーブルを建物内に入れる方法 (コントロール A.11 に関連) は、技術的なコントロールではなく、組織的、法的、または手順的なコントロールであり、ISMS 監査にも関連する可能性がありますが、トレーニング中の監査人のタスクの範囲外です。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO/IEC 27002:2013 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施規範

説明
データと情報は関連した概念ですが、同じではありません。データとは、生の事実や数字を表し、情報の基礎となる単なる事実または数字です。情報とは、分析、解釈、または意味のある形式での編集を通じて価値が与えられたデータです。データに意味と価値が割り当てられると、意思決定、問題解決、またはコミュニケーションに使用できる情報になります。
したがって、正解は C です。参考文献: ISO/IEC 27000:2022、条項 3.7、データと情報 - 相違点と比較 | Diffen。

説明

管理システム監査の目的は、組織の管理システムのパフォーマンスを評価することです。
マネジメント システム監査は、企業の全体的な活動とパフォーマンスを独立して体系的に分析および評価することです1。これは、企業の効率、機能、成果、および業績を判断するために使用される貴重なツールです1。マネジメント システム監査は、既存の ISO 規格2 で設定された要件を含む (ただし、これらに限定されない) さまざまな監査基準に照らして実施できます。
管理システム監査のガイドラインである ISO 19011:2018 によれば、監査の目的は、監査人が監査目標2 に関連した監査結論を提供できるようにすることです。監査目標は監査クライアントによって定義され、監査基準に対する監査対象の管理システムの適合または不適合の程度の判定、組織が適用される法定、規制、契約上の要件を満たすことを保証するための監査対象の管理システムの能力の評価、監査対象の管理システムの潜在的な改善機会の特定、監査対象の管理システムの継続的な改善の促進などが含まれます。
したがって、正解は「評価」です。これは、管理システム監査の目的を最もよく表しているからです。その他の選択肢は、十分に具体的でなかったり、監査の意図した結果を反映していないため、不正解です。たとえば、「改善」は、監査自体が管理システムのパフォーマンスを向上させることを意味しますが、これは必ずしも真実ではありません。「管理」は、監査が管理システムを制御または指示することを意味しますが、これは監査の役割ではありません。「調査」は、監査が管理システムに関する新しい知識または情報を生成することを意味しますが、これは監査の主な目的ではありません。

PECB の ISO/IEC 27001 主任監査員候補者ハンドブックによると、監査報告書は、監査証拠の収集と分析の責任を負っている監査チームリーダーが監査チームからの情報を基に作成する必要があります1。監査報告書には、監査計画も含まれるか、監査計画を参照する必要があります。監査計画は、監査の目的、範囲、基準、方法論の基礎となるためです2。さらに、監査報告書は、合意された期限内に作成する必要があります。これは、監査プログラム管理の一部であり、監査結果のタイムリーな伝達を確実にするためです3。さらに、監査報告書は、常にクライアントによって確認され、日付が付けられ、「承認済み」として署名される必要があります。これは、監査の完了と、監査の所見と結論に関する正式な合意を確認するためです4。
その他の記述は、以下の理由で誤りです。
* 監査報告書は、その内容が恥ずかしい内容になる可能性があり、監査の公平性と機密性が損なわれる可能性があるため、最初に組織のトップマネジメントに送付しないでください。監査報告書は、監査プログラムの手順と監査計画に従って配布する必要があります。
* 監査報告書は、特に機密と明記されていない限り、一般に配布することは適切ではないとみなされます。これは、監査の機密性と個人情報の保護に違反することになります。
監査レポートは機密文書として扱われ、許可された関係者とのみ共有される必要があります。
* 監査報告書は、不適合を証明するものだけを記載すべきではありません。そうしないと、監査の範囲と価値が制限されてしまいます。
監査報告書には、適合性、改善の機会、優れた実践、監査の観察結果も記載する必要があります。
* 不要になった監査報告書は、組織の一般廃棄物として破棄しないでください。監査の機密性と情報セキュリティにリスクが生じる可能性があります。監査報告書
* 監査プログラムの手順および適用される法的要求事項に従って保持、処分、または破棄する必要があります。
参考文献: 1: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、32 ページ、セクション 4.4.32: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、33 ページ、セクション 4.4.43: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、31 ページ、セクション 4.4.14: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、34 ページ、セクション 4.4.55: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、24 ページ、セクション 4.3.1。: PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、33 ページ、セクション 4.4.4。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、24 ページ、セクション 4.3.1。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、33 ページ、セクション 4.4.4。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、32 ページ、セクション 4.4.3。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、33 ページ、セクション 4.4.4。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、24 ページ、セクション 4.3.1。 : PECB 候補者ハンドブック ISO/IEC 27001 主任審査員、34 ページ、セクション 4.4.5。

このシナリオは、ABC 社が、保存されている情報の分類スキームに一致するリムーバブル ストレージ メディアの管理手順を実装しているため、適合性を示しています。情報が「機密」として分類されている場合は、より厳格な手順が適用されますが、「公開」情報の場合は、組織で定義された情報分類ポリシーに従って、手順は整合性と可用性のみに焦点を当てています。
参照: ISO/IEC 27001:2013、条項 A.8.2 (情報分類)