管理システム監査のガイドラインを提供する ISO 19011:2018 によれば、条項 6.6 では、監査チーム リーダーは監査の終了時に監査対象者の代表者と最終会議を開催し、監査の結論と所見を提示することが求められています1。最終会議では、監査対象者が質問したり、問題を明確にしたり、所見を認めたり、監査プロセスについてコメントしたりする機会も提供する必要があります1。したがって、最終会議の準備をする際には、ISMS 監査人は次のアクションを検討する必要があります。
最終会議の目的は、監査チームが調査結果を伝えることであり、監査対象者がこれに異議を唱える機会ではないことを監査対象者に伝えます。この措置は、監査人が監査証拠の収集と評価、および監査結論への到達に体系的かつ一貫したアプローチを採用したという事実を反映しているため適切です。監査人は、最終会議の目的は、客観的な証拠と専門家の判断に基づいた監査チームの調査結果を伝えることであると監査対象者に伝える必要があります。また、これらの調査結果は監査中にすでに議論され、確認されているため、監査対象者がこれに異議を唱える機会ではないことも説明する必要があります。ただし、監査人は、質問、問題点の明確化、調査結果の承認、監査プロセスに関するコメントを監査対象者に求める必要があります1。
監査対象者の代表者との最終会議を予定し、その会議で監査結論を発表します。このアクションは、監査人が計画され合意された監査プログラムとスケジュールに従ったという事実を反映しているため、適切です。監査人は、ISO 19011:20181 の条項 6.6 に従って、監査対象者の代表者との最終会議を予定し、その会議で監査結論を発表する必要があります。また、監査人は、ISMS の管理または実装の責任者、およびその他の関連当事者が最終会議に出席するようにする必要があります1。
必要なフォローアップについて監査チームと話し合います: このアクションは、監査人がリスクベースのアプローチに従って、被監査者または認証機関によって要求されるフォローアップ アクションを決定および報告したという事実を反映しているため、適切です。監査人は、不適合の是正措置の検証や後続の監査の実施など、必要なフォローアップについて監査チームと話し合う必要があります1。監査人は、監査レポート1 にフォローアップ アクションを文書化する必要もあります。
私はチームの監査結論を確認し、必要に応じて承認します。このアクションは、監査人が監査結論に達して報告するまでに厳格で専門的なプロセスに従ったという事実を反映しているため、適切です。監査人は、客観的な証拠と専門的な判断に基づいたチームの監査結論を確認し、必要に応じて承認する必要があります。また、監査人は、チームの監査結論が監査の目的と範囲と一致し、ISMS1 の全体的なパフォーマンスと適合性を反映していることを確認する必要があります。

ミッドウェスト保険支店の火災による間接的な被害の一例として、消火器による水害が挙げられます。間接的な被害とは、事故の結果として発生する被害ですが、事故が直接の原因ではありません。間接的な被害には、収益、評判、顧客、市場シェアなどの損失が含まれます。この場合、消火器による水害は、火災自体が直接の原因ではなく、火災を止めるために講じられた措置が原因です。水害は、家具、カーペット、書類など、火災で焼失しなかった他の資産や情報に影響を及ぼす可能性があります。ISO/IEC 27001:2022 では、間接的な影響を「望ましくない事故の結果から生じる影響」と定義しています (条項 3.26 を参照)。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、[間接的な被害とは?]

参照：
ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件 ISO/IEC 27005:2022 情報技術 - セキュリティ技術 - 情報セキュリティリスク管理

Explanation:

* リスク分析は、リスクの性質、その確率、影響を判断するプロセスです。リスク分析には、組織の情報セキュリティの目的や要件に影響を及ぼす可能性のある潜在的なイベントや状況の発生確率と結果を推定することが含まれます12。リスク分析では、定性的または定量的手法、あるいはその両方の組み合わせを使用できます12。
* リスク管理とは、組織のポリシー、手順、および実践を適用することで、リスクをライフサイクルのすべての段階で管理するプロセスです。リスク管理には、組織の情報セキュリティ パフォーマンスまたはコンプライアンスに影響を及ぼす可能性のあるリスクのコンテキストの確立、特定、分析、評価、処理、監視、およびレビューが含まれます12。リスク管理の目的は、リスクがタイムリーかつ効果的に特定および処理され、改善の機会が活用されるようにすることです12。
* リスク識別とは、リスクを認識して記述するプロセスです。リスク識別には、組織の情報セキュリティの目標や要件に影響を及ぼす可能性のあるリスクの発生源、原因、イベント、シナリオ、および潜在的な影響を識別して文書化することが含まれます12。リスク識別には、ブレーンストーミング、インタビュー、チェックリスト、調査、履歴データなどのさまざまな手法を使用できます12。
* リスク評価とは、リスクの影響や確率をリスク基準と比較し、リスクが許容可能かどうかを判断するプロセスです。リスク評価では、リスク分析の結果を、組織のリスク選好度、許容度、または受容度を反映する事前定義された基準と比較します12。リスク評価では、ランキング、スコアリング、マトリックス12 など、さまざまな方法を使用できます。リスク評価は、適切なリスク処理オプションの優先順位付けと決定に役立ちます12。
* リスク軽減とは、コントロールを適用することでリスクの影響や確率を軽減するプロセスです。リスク軽減には、組織の情報セキュリティの目的や要件に影響を及ぼす可能性のあるリスクを防止、軽減、移転、または受け入れるように設計された対策を選択して実装することが含まれます12。リスク軽減には、技術的、組織的、法的、物理的など、さまざまな種類のコントロールが含まれます12。リスク軽減は、費用便益分析と残余リスク評価に基づいて行う必要があります12。
* リスク移転とは、適切な保険に加入するなどして、リスクを第三者に渡すプロセスです。リスク移転には、リスクに対する責任または賠償責任の一部またはすべてを、リスクを管理する能力または能力が高い別の当事者と共有または移転することが含まれます12。リスク移転には、契約、合意、パートナーシップ、アウトソーシング、保険など、さまざまな方法が含まれます12。リスク移転は、組織内での効果的なリスク管理の代替として使用すべきではありません12。
参考文献 :
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* ISO/IEC 27005:2022 情報技術 - セキュリティ技術 - 情報セキュリティリスク管理