説明
監査結果を決定するには、監査証拠を監査基準に照らして評価する必要があります。
* 監査証拠とは、監査人が監査プロセス中に入手した情報であり、監査意見または結論を形成するための基礎として使用されます12。監査証拠には、記録、文書、声明、観察、インタビュー、またはテスト結果が含まれます12。
* 監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、規制、または要件です12。監査基準は、ISO 標準、業界のベスト プラクティス、法的義務などの内部または外部の情報源から導き出される可能性があります12。
* 監査結果とは、監査証拠を評価し、それを監査基準13と比較するプロセスの結果です。監査結果では、監査基準が満たされている (適合) か、満たされていない (不適合) かが示されます。また、ベスト プラクティスや改善の機会を特定することもできます13。
参考文献 :
* ISO 19011:2022 監査管理システムのガイドライン
* ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件
* 監査結果の構成要素 - 内部監査人協会

技術的セキュリティ対策とは、情報資産を不正アクセス、変更、開示、破壊から保護するために技術を使用する対策です。技術的セキュリティ対策の例には、暗号化、ファイアウォール、ウイルス対策ソフトウェア、認証システム、アクセス制御メカニズムなどがあります。暗号化は、秘密鍵またはアルゴリズムを使用して情報を読み取り不可能な形式に変換する技術的セキュリティ対策です。暗号化は、権限のない第三者による情報へのアクセスや変更を防ぐことで、情報の機密性、整合性、可用性を保護します。したがって、この質問の正解は暗号化です。参照: ISO/IEC 27000:2022、条項 3.48、ISO/IEC 27002:2022、条項 10.1。

説明
マネジメントシステムの監査に関するガイドラインを提供する ISO 19011:2018 によれば、条項 6.7 では、監査チーム リーダーがフォローアップ監査を実施し、前回の監査で特定された不適合に対応して監査対象者が講じた是正措置の実施状況と有効性を検証することが求められています1。フォローアップ監査は、初回監査と同じ原則とプロセスに従って実施する必要があり、不適合の状態と残っている問題に関する結論を出す必要があります1。
したがって、フォローアップ監査を実施する場合、ISMS 監査人は次のアクションを考慮する必要があります。
* 未解決の軽微な不適合を次回のサーベイランス監査で対処することを推奨する: この処置は、被監査者が重大な不適合を含むほとんどの不適合を解消し、未解決の軽微な不適合が 1 つだけ残っているという事実を反映しているため適切です。軽微な不適合とは、ISO/IEC 27001:2022 の 1 つ以上の要件を達成できなかったこと、または ISMS プロセスが意図した出力を達成する能力について重大な疑問を抱かせるものの、全体的な有効性や適合性には影響しない状況と定義されます2。したがって、この発見は、合理的な時間枠内に適切な是正措置によって対処される限り、認証の継続を妨げたり排除したりすることはありません。監査人は、未解決の軽微な不適合を次回のサーベイランス監査で対処することを推奨する必要があります。サーベイランス監査は、認証機関が ISMS の継続的な適合性と有効性を確認するために実施する定期監査です3。
* 残りの不適合をどのように、いつまでに解消し、その解消を検証するかについて、被監査者/監査クライアントと合意する: この措置は、被監査者が前回の監査で特定された不適合に対する是正措置を実施する意欲と能力を示したという事実を反映しているため、適切です。監査人は、明確な期限と検証方法を含め、残りの不適合に対する現実的で達成可能かつ効果的な是正措置計画について、被監査者/監査クライアントと合意する必要があります。また、監査人は、フォローアップ監査レポート1 にこの合意内容を文書化する必要があります。
* 監査プログラムを管理する担当者に、未解決の課題に関する決定事項を通知する。
* 不適合: この処置は、監査人がフォローアップ監査の実施と報告に体系的かつ一貫したアプローチをとったという事実を反映しているため適切です。監査人は、次回の監視監査で不適合を解消することを推奨したり、被監査者/監査クライアントと是正措置計画に合意したりするなど、未解決の不適合に関して下した決定を、監査プログラムを管理する担当者に通知する必要があります。また、監査人は、決定を裏付ける十分な情報と証拠を提供する必要があります1。
* 組織が指摘された不適合を解消することに取り組んでいることを示したため、フォローアップ監査を終了する: この処置は、組織がフォローアップ監査で満足のいく結果を達成したという事実を反映しているため適切です。組織は、指摘された不適合のほとんどに対して効果的な是正措置を実施し、残りの 1 つに対しては計画に合意することで、指摘された不適合を解消することに取り組んでいることを示したため、監査人はフォローアップ監査を終了する必要があります。また、監査人はフォローアップ監査の結論を被監査者/監査クライアントおよびその他の関連当事者に伝える必要があります 1。

情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定する ISO/IEC 27001:2022 によれば、組織は情報セキュリティ目標s1 を達成するために適切なコントロールを選択して実装する必要があります。コントロールは、リスク評価とリスク処理の結果から導き出される必要があり、ISMS1 に適用可能かつ必要なコントロールを特定する文書である適用性ステートメント (SoA) と一致している必要があります。コントロールは、情報セキュリティ コントロールの実践規範を提供する ISO/IEC 27002:2013 など、さまざまなソースから選択できます2。したがって、トレーニング中の監査人が、SoA にリストされ、外部クライアントに代わってデータを保存する組織のサイトで実装されている技術的コントロールを確認する任務を負っている場合、確認することが期待される 4 つのコントロールは次のとおりです。
* マルウェアに対する保護の実装方法: これは、情報または情報システムの機密性、整合性、可用性を損なう可能性のある悪意のあるソフトウェア (ウイルス、ワーム、ランサムウェアなど) を防止、検出、削除することを目的とした技術的な制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.12.2.1 に関連しています。
* 組織が技術的脆弱性への露出を評価する方法: これは、悪意のある行為者によって悪用されたり、偶発的な障害を引き起こしたりする可能性のある情報システムまたはネットワークの潜在的な弱点や欠陥を特定して評価することを目的とした技術的制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.12.6.1 に関連しています。
* ソース コードと開発ツールへのアクセスの管理方法: これは、組織またはその外部プロバイダーによって開発または保守されるソフトウェア アプリケーションまたはシステムの知的財産権と整合性を保護することを目的とした技術制御です2。この制御は、ISO/IEC 27002:20132 の制御 A.14.2.5 に関連しています。
* サイトの CCTV およびドア制御システムの運用: これは、情報または情報システムが保存または処理される建物または施設への物理的なアクセスを監視および制限することを目的とした技術的制御です2。この制御は、ISO/IEC 27002:2013 の制御 A.11.1.4 に関連しています2。
その他のオプションは、技術的な制御の例ではなく、ISMS 監査にも関連する可能性がある組織的、法的、または手続き的な制御ですが、トレーニング中の監査人のタスクの範囲外です。たとえば、情報資産インベントリの開発と保守 (コントロール A.8.1.1 に関連)、組織内および他の組織への情報転送のルール (コントロール A.13.2.1 に関連)、機密保持契約および非開示契約 (コントロール A.13.2.4 に関連)、従業員の確認チェック (コントロール A.7.1.2 に関連)、リモート ワークの取り決め (コントロール A.6.2.1 に関連)、サプライヤー契約内の情報セキュリティ (コントロール A.15.1.1 に関連)、事業継続の取り決め (コントロール A.17 に関連)、情報の削除 (コントロール A.8.3 に関連)、情報セキュリティの認識、教育、トレーニング (コントロール A.7.2 に関連)、機器のメンテナンス (コントロール A.11.2 に関連)、および電源ケーブルとデータ ケーブルを建物内に入れる方法 (コントロール A.11 に関連) は、技術的なコントロールではなく、組織的、法的、または手順的なコントロールであり、ISMS 監査にも関連する可能性がありますが、トレーニング中の監査人のタスクの範囲外です。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO/IEC
27002:2013 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実践規範

OrgXY のような組織が認証機関に、予定どおりに監視監査を実施する準備ができていないことを通知した場合、認証が一時停止される可能性があります。これは、監視監査が継続的な認証維持の重要な部分であり、標準への継続的な準拠を保証するために必要なためです。
参考資料: PECB ISO/IEC 27001 主任監査員コース教材、ISO/IEC 27001:2013、認証および監視要件に関する一般ガイドライン