説明
テクニカルディレクターの要求に対する監査チームリーダーの正しい応答の 3 つの選択肢は次のとおりです。
* B. テクニカルディレクターに、彼の要求が監査レポートに含まれることを通知します。
* D. 不適合を証明する証拠が明らかであったため、不適合はそのまま維持する必要があることを技術責任者に通知します。
* H. 更新された適用性ステートメントの証拠を確認するためにフォローアップ監査が必要であることを明記します。
* B. この回答は正解です。監査チームリーダーはテクニカルディレクターの要求を文書化し、監査の所見と結論とともに監査報告書に含める必要があります12。これにより、監査プロセスと監査結果の透明性と追跡可能性が確保されます。
* D. この回答は正解です。なぜなら、監査チームリーダーは修正された適用性ステートメントのみに基づいて不適合を取り下げるべきではないからです。この不適合は、ISO 27001:2022 の条項 6.1.3.e に反して提起されたものです。この条項では、組織がリスク対応計画を作成し、維持することを求めています。この計画では、選択されたコントロールとその実装状況を含め、情報セキュリティリスクの取り扱い方法を定義し、維持することが求められています34。適用性ステートメントはリスク対応計画の一部にすぎず、コントロールが効果的に実装されていることを示す十分な証拠を提供していません。監査チームリーダーは、監査対象者の主観的な主張ではなく、監査中に得られた客観的な証拠に基づいて不適合を認定する必要があります12。
* H. この回答は正解です。なぜなら、監査チーム リーダーは、更新された適用性ステートメントの証拠を確認するためにフォローアップ監査が必要であると述べる必要があるからです。フォローアップ監査とは、前回の監査の後に実施される監査で、前回の監査の結果として合意された是正措置および/または改善の機会の実施と有効性を検証します56。フォローアップ監査では、不適合が効果的に対処され、ISMS が準拠し、有効であることを確認する必要があります。フォローアップ監査では、ISMS に影響を与える可能性のある新しいリスクや要件、または変更されたリスクや要件も考慮する必要があります56。
参考文献:
1: PECB候補者ハンドブック - ISO 27001主任審査員、25ページ 2: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン、6.7項 3: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、6.1.3.e項 4: ISO/IEC
27005:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティリスク管理、条項
8.3.2 5: PECB候補者ハンドブック - ISO 27001主任審査員、25ページ 6: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン、6.7項

説明
情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定する ISO/IEC 27001:2022 によると、条項 4.2 では、組織は ISMS1 に関連する利害関係者のニーズと期待を判断する必要があります。これには、情報セキュリティ活動に適用される法律、規制、契約、およびその他の要件の特定が含まれます。したがって、ヘルスケア モニタリングのサービス要件が何であるかに関する証拠をさらに収集することは、監査の目的や基準に直接関連しないため、情報セキュリティ インシデント管理プロセスの検証には関連しない可能性があります。このオプションは監査証跡には含まれません。

説明
12の総合的な能力:
監査範囲と基準: 監査範囲は、監査の対象となる場所、プロセス、機能、期間など、監査の範囲と境界を定義します。監査基準は、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、または要件です。
監査の範囲と基準によって監査の複雑さと範囲が決まり、監査の関連するすべての側面をカバーするために必要な監査人の数と専門知識に影響します。
監査目的を達成するために必要な監査チームの総合的な能力: 監査チームは、監査を効果的かつ効率的に実施し、信頼性と信頼性のある監査結果を提供するために、適切な知識、スキル、経験を備えている必要があります。監査チームの能力には、次の要素が含まれる必要があります12:
一般的な能力: 監査の計画、実施、報告、フォローアップなどの監査の原則と方法を適用する能力、および倫理的行動、公正な提示、専門家としての配慮、独立性、公平性などの監査人の個人的な行動と特性。
分野およびセクター固有の能力: 情報セキュリティ管理システム (ISMS) の要件、情報セキュリティのリスクと管理、法的および規制上の義務、組織の状況と文化、プロセスと活動、製品とサービスなど、監査基準と監査対象組織の関連する技術的または業界的側面を理解して適用する能力。
監査チームリーダーの能力: 監査活動の調整、監査プログラム マネージャーおよび監査対象者とのコミュニケーション、監査関連の問題の解決、監査作業および監査レポートの品質と一貫性の確保など、監査チームと監査プロセスを管理する能力。
監査プログラムの管理責任者は、特定の監査の監査チームの規模と構成を決定する際に、以下の要素を考慮に入れるべきではありません。これらの要素は監査プロセスには無関係または不適切だからです12。
顧客関係: 監査チームは、監査対象者やその他の利害関係者との個人的または職業上の関係に影響されてはなりません。監査の客観性と公平性が損なわれる可能性があります。監査チームは、監査結果や監査決定に影響を与える可能性のある利益相反や自己利益を避ける必要があります。
監査チーム リーダーの役職: 監査チーム リーダーは、組織内または監査プログラム内での役職や地位ではなく、能力と経験に基づいて選出する必要があります。監査チーム リーダーは、役職や地位に関係なく、監査チームと監査プロセスを管理する権限と責任を持つ必要があります。
監査のコスト: 監査のコストは、監査チームの規模と構成を決定する主な要因ではありません。監査の品質と有効性が損なわれる可能性があるためです。監査チームには、監査の目的、範囲、基準に従って監査を実施し、正確で信頼性の高い監査結果と推奨事項を提供するのに十分なリソースと時間が必要です。
監査対象者が希望する期間: 監査の期間は、監査の目的、範囲、基準、および監査対象者の都合や都合ではなく、監査対象者の都合と協力に基づいて決定する必要があります。監査チームには、監査を徹底的かつ体系的に実施し、十分かつ関連性のある監査証拠を収集して評価するのに十分な時間が必要です。
参考文献:
ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
PECB 候補者ハンドブック ISO 27001 主任審査員、19-20 ページ

情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定する ISO/IEC 27001:2022 によれば、条項 7.2 では、組織は、ISMS パフォーマンスに影響する管理下で作業を行う人の必要な能力を判断し、必要な能力を獲得または維持するためにトレーニングを提供するか、その他の措置を講じる必要があります1。管理 A.6.3 では、組織は、すべての従業員と請負業者が情報セキュリティの脅威と懸念、責任と賠償責任を認識し、この点で組織のポリシーと手順をサポートする準備ができていることを確認する必要があります2。したがって、ISMS 監査人が情報セキュリティ インシデント トレーニングの有効性を改善できると判断した場合、これは条項 7.2 と管理 A.6.3 に関連する改善の機会 (OFI) を示しています。
ISO/IEC 27001:2022 によれば、条項 9.1 では組織が ISMS のパフォーマンスと有効性を監視、測定、分析、評価することが求められています1。コントロール A.5.24 では組織が情報セキュリティ イベントと弱点を報告するための手順を定義して適用することが求められています2。したがって、ISMS 監査人がサンプリング インタビューの結果に基づいて、インタビュー対象者の誰も担当者の役割と責任を含むインシデント管理手順の報告プロセスを説明できなかったと判断した場合、これは条項 9.1 とコントロール A.5.24 に準拠していない不適合 (NC) を示しています。
その他のオプションは、与えられた情報に基づいて監査結果を準備するための正しいオプションではありません。たとえば、情報セキュリティの弱点、イベント、およびインシデントが報告されている場合、これは条項 9.1 およびコントロール A.5.24 に準拠しているため、不適合はありません。情報セキュリティの取り扱いトレーニングが実施され、その有効性が評価されている場合、これは条項 7.2 およびコントロール A.6.3 に準拠しているため、不適合はありません。情報セキュリティ インシデント トレーニングが失敗しても、これは必ずしも条項 7.2 またはコントロール A.6.3 への適合の欠如を示すとは限らないため、不適合はありません。情報セキュリティの弱点、イベント、およびインシデントが報告されている場合、これはすでに条項 9.1 およびコントロール A.5.24 に準拠しているため、改善の機会はありません。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO/IEC 27002:2013 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施規範