説明
データ分類には、制限データと非制限データの 2 種類があります。制限データは、機密性または秘密性のレベルが高く、不正アクセス、開示、変更、または破壊から厳重に保護する必要があるデータです。制限データの例としては、個人データ、財務データ、企業秘密、知的財産などがあります。非制限データは、機密性または秘密性のレベルが低く、重大な結果を招くことなく自由にアクセス、開示、変更、または破壊できるデータです。非制限データの例としては、公開情報、マーケティング資料、一般ニュースなどがあります。データ分類は、データの価値、機密性、重要度、法的要件に基づいて、データにカテゴリまたはラベルを割り当てるプロセスです。データ分類は、さまざまな種類のデータに対して適切なレベルのセキュリティ制御と処理手順を決定するのに役立ちます。ISO/IEC 27001:2022 では、組織が法的要件、価値、重要度、および不正な開示または変更に対する機密性の観点から情報を分類することを要求しています (条項 A.8.2.1 を参照)。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、データ分類とは何ですか?

Explanation:
ISO 19011:2018 の 5.3 項によれば、監査プログラムの管理責任者は、監査チームのメンバー、予算、時間、ツールなど、監査プログラムに必要なリソースを決定する必要があります。監査リソースは、監査プログラムと監査結果の品質と有効性を確保するために十分かつ適切である必要があります。監査リソースには、次の要素が含まれます12。
必須リソース: 監査文書、監査方法、監査ツール、監査スケジュール、監査予算など、監査プログラムおよび個々の監査を実施するために必要なリソースです。必須リソースは、監査の目的、範囲、基準、および監査対象者の可用性と協力に基づいて特定および割り当てる必要があります。必須リソースは、監査プログラムまたは個々の監査の変更や逸脱を反映するために、必要に応じてレビューおよび更新する必要があります。
有能な人員: 監査を効果的かつ効率的に実施し、信頼性が高く確実な監査結果と推奨事項を提供するための適切な知識、スキル、経験を持つ監査チームのメンバーです。有能な人員には、監査チーム リーダー、監査人、監査チームをサポートする技術専門家またはオブザーバーが含まれます。有能な人員は、監査の目的、範囲、基準、および監査プログラムと個々の監査の特定の能力要件に基づいて選択および任命される必要があります。有能な人員は、独立性と公平性を備え、監査結果や監査決定に影響を与える可能性のある利益相反や自己利益を避ける必要があります。
参考文献:
ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン、条項 5.3 PECB 候補者ハンドブック ISO 27001 主任監査員、19 ページ

有効な監査結論となる 2 つのステートメントは次のとおりです。
*ISMSポリシーが組織に効果的に伝達されている
*組織の ISMS 目標は、ISO/IEC 27001:2022 の要件を満たしています。ISO 19011:2018 によれば、監査結論とは、監査目標とすべての監査結果1 を考慮した上で監査チームが提供する監査の結果です。監査結論は、監査基準が満たされているかどうかに応じて、肯定的または否定的になります。監査結論には、改善の推奨事項や優れた実践の認識も含まれる場合があります。
ステートメント D と E は、監査基準と調査結果に基づいた監査の結果を表しているため、有効な監査結論です。例:
*ステートメント D は、組織が ISO/IEC 27001:2022 の条項 5.2.2 の要件を満たしていることを示しているため、肯定的な監査結論です。この条項では、ISMS ポリシーを組織内および関連する利害関係者に伝達する必要があると規定されています2。監査チームは、コミュニケーション、意識向上活動、フィードバックなどの記録など、この結論を裏付ける十分かつ適切な監査証拠を取得している必要があります。
*ステートメント E は、組織が ISO/IEC 27001:2022 の条項 6.2 の要件を満たしていることを示しているため、肯定的な監査結論です。この条項では、組織は ISMS ポリシーと一致し、情報セキュリティ リスクに関連する ISMS 目標を確立する必要があると規定されています3。監査チームは、目標設定、リスク評価、ポリシーとの整合性などの記録など、この結論を裏付ける十分かつ適切な監査証拠を取得している必要があります。
その他の記述は、監査基準と監査結果に基づく監査の結果を表現していないため、有効な監査結論ではありません。これらはむしろ、収集された監査証拠を監査基準4に照らして評価した結果である監査結果の例です。監査結果は、監査基準への適合または不適合、あるいは改善の機会を示すことができます。例:
*ステートメントAは、条項の要件に準拠していないことを示しているため、監査上の否定的な発見事項です。
ISO/IEC 27001:2022 の 7.2.2 では、組織は管理下にある人物に対して情報セキュリティ意識向上の教育とトレーニングを提供しなければならないと規定されています5。監査チームはこの不適合を特定して文書化し、監査対象者に報告する必要があります。
*ステートメントBは、条項の要件に準拠していないことを示しているため、監査上の否定的な発見事項です。
ISO/IEC 27001:2022 の 6.1.2 では、組織は計画された間隔で、または重大な変更が発生した場合に、情報セキュリティリスク評価を維持し、レビューする必要があると規定されています6。監査チームは、この不適合を特定して文書化し、監査対象者に報告する必要があります。
*ステートメントCは、条項の要件に準拠していないことを示しているため、監査上の否定的な発見事項です。
ISO/IEC 27001:2022 の 10.1 では、組織は不適合の原因を排除し、再発を防止するための措置を講じなければならないと規定されています7。監査チームは、この不適合を特定して文書化し、監査対象者に報告する必要があります。
*ステートメントFは、条項の要件に準拠していないことを示しているため、監査上の否定的な発見事項です。
ISO/IEC 27001:2022 の 6.1.3 では、組織はリスク処理計画を実施するために必要な管理策を決定し、それを適用性ステートメントに文書化する必要があると規定されています8。監査チームは、この不適合を特定して文書化し、監査対象者に報告する必要があります。
参照: 1: ISO 19011:2018、3.15; 2: ISO/IEC 27001:2022、5.2.2; 3: ISO/IEC 27001:2022、6.2; 4: ISO
19011:2018、3.14; 5: ISO/IEC 27001:2022、7.2.2; 6: ISO/IEC 27001:2022、6.1.2; 7: ISO/IEC 27001:2022、
10.1; 8: ISO/IEC 27001:2022、6.1.3; : ISO 19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO
19011:2018; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022; : ISO/IEC 27001:2022

ISO/IEC 27001 主任審査員向け PECB 候補者ハンドブックによると、被審査者は ISO/IEC 27001:20221 の条項 6.1.3.e に対する不適合に対応して次の措置を講じる必要があります。
* 適用可能な各コントロールに対して適切なリスク処理を実施します。これは、6.1.3.e 項の主な要件であり、リスク処理プロセス 2 の目的です。
* 適用性ステートメントの関連コンテンツを修正して除外を正当化します。これは、リスク処理プロセスの期待される出力であり、リスクに基づく意思決定の証拠であるためです3。
* 3 つのコントロールに関連するリスク評価プロセスを再検討します。これは、リスク処理プロセスへの入力であり、リスクとコントロールを特定するための情報源です4。
他のオプションは、次の理由により正しくありません。
* 監査チームは 3 つのコントロールの実装の証拠がないことをすでに確認しているため、監査人にコントロールが実装されていることを証明する証拠を作成する責任を割り当てることは有効なアクションではありません。
* 管理に関連するリスクの定期的な評価の計画をまとめることは、リスク処理プロセスではなく、リスク監視およびレビュープロセスの一部であるため、有効なアクションではありません5。
* 組織のセキュリティ マニュアルに制御の文書化された手順を組み込むことは、リスク処理プロセスではなく、ISMS の文書化と運用の一部であるため、有効なアクションではありません。
* 適用性ステートメントから 3 つのコントロールを削除することは、それらの除外を正当化する十分な理由にはならず、リスク処理プロセスを反映していないため、有効なアクションではありません。
* 顧客に対して、コントロールが必要かどうかを調べるための調査を実施することは有効なアクションではありません。これは、リスク評価および処理プロセスに関連する基準ではないためです。リスク評価および処理プロセスは、組織独自の状況と目的に基づく必要があります。
参考文献: 1: ISO/IEC 27001主任審査員候補者向けPECBハンドブック、36ページ、セクション4.5.22:
ISO/IEC 27001:2022、条項6.1.3.e3: ISO/IEC 27001:2022、条項6.1.3.f4: ISO/IEC 27001:2022、条項
6.1.25: ISO/IEC 27001:2022、6.2 項。: ISO/IEC 27001:2022、7.5 項および 8 項。: ISO/IEC 27001:2022、6.1.3.d 項。: ISO/IEC 27001:2022、4.1 項および 4.2 項。