説明
ISO/IEC 27001:2022 の条項 A.8.1.5 によれば、組織はインターネットを含む情報資産の許容される使用に関する明確なポリシーを確立し、実施する必要があります。ポリシーでは、規則と、それに違反した場合の懲戒処分や法的制裁などの結果を定義する必要があります。また、ポリシーはすべてのユーザーと関係者に伝達する必要があります。したがって、従業員が P2P ファイル共有やビデオ/オーディオ ストリーミングなどのインターネットの悪用で捕まった場合、警告は受けず、インシデントとその影響、および実行または計画されている是正措置の正式な記録である IR (インシデント レポート) を直接受け取ります。参考文献: CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員 (情報セキュリティ管理システム) コース ハンドブック、54 ページ、[ISO/IEC 27001:2022]、条項 A.8.1.5。

情報資産の許容される使用において禁止されていない唯一のオプションは、C: 上司/TL の許可を得た全社的な電子メールです。このオプションは、送信者が上司またはチーム リーダーから、組織内のすべての従業員に電子メールを送信するために必要な承認を得ていることを意味します。これは、全員に関係する重要なニュース、イベント、または更新を発表するなど、正当な業務目的で行うことができます。ただし、このオプションは、乱用または誤用された場合に受信者に不要な混乱や迷惑を引き起こす可能性があるため、控えめに責任を持って使用する必要があります。その他のオプションは、組織の情報セキュリティ ポリシーと手順に違反する可能性があり、リソースと帯域幅を浪費する可能性があるため、情報資産の許容される使用において禁止されています。電子チェーン レター (A) は、受信者に複数の他の人に転送するように促すメッセージで、多くの場合、虚偽または誤解を招く主張や約束が含まれています。これらはスパムと見なされ、情報セキュリティを侵害する可能性のある悪意のあるリンクや添付ファイルが含まれている可能性があります。重要でない読者への電子メールのコピー (B) は、受信する必要がない、または興味のない受信者に送信されるメッセージです。これらは不要とみなされ、受信トレイが乱雑になり、受信者がより重要なメッセージから気をそらす可能性があります。非常に大きな添付ファイルがあるメッセージ、または多数の受信者へのメッセージ (D) は、大量のネットワーク リソースを消費するメッセージであり、情報システムのパフォーマンスや可用性に影響を与える可能性があります。また、受信者のメールボックスのストレージ容量またはクォータ制限を超え、問題を引き起こす可能性もあります。ISO/IEC 27001:2022 では、組織が資産の許容可能な使用に関するルールを実装することを要求しています (条項 A.8.1.3 を参照)。参考資料: CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース、ISO/IEC 27001:2022 情報技術
- セキュリティ技術 - 情報セキュリティ管理システム - 要件、許容される使用法とは?

フォローアップ監査、特に情報セキュリティ管理システム (ISMS) のコンテキストと ISO 19011:2018 で提供されるガイドラインの理解に基づいて、トレーニング中の監査人が正しく回答したリストの 4 つの質問を以下に示します。
B. Q: フォローアップ監査では、不適合が効果的に対処されていることを確認する必要がありますか? A: はい、その通りです。フォローアップ監査の主な目的は、以前の監査で特定された不適合が効果的に対処され、講じられた是正措置が適切かつ効果的であることを確認することです。
D. Q: フォローアップ監査の目的は、修正、是正措置、改善の機会の完了を確認することですか? A: はい。フォローアップ監査の目的は、修正と是正措置の完了と有効性を確認することです。また、最初の監査中に特定された改善の機会の実施も検討する場合があります。
E. Q: すべての監査にフォローアップ監査が必要ですか? A: いいえ、正解です。フォローアップ監査は、すべての監査に自動的に必要というわけではありません。フォローアップ監査は通常、以前の監査で不適合やその他の重大な問題が特定され、是正措置の実施と有効性を検証する必要がある場合に実施されます。
H. Q: フォローアップ監査の結果は、必要に応じて別のフォローアップ監査になる可能性がありますか? A: はい、これは可能性のある結果です。フォローアップ監査で是正措置が十分に効果的ではなかったことが判明した場合、または新しい問題が特定された場合は、別のフォローアップ監査を実施する必要があるかもしれません。
研修中の監査員が提供するその他の回答には、いくらかの説明や訂正が必要です。たとえば、フォローアップ監査は、以前に特定された不適合と是正処置に主に焦点を当てていますが、観察された場合は新しい不適合が特定されることもあります (A)。改善の機会は、通常、フォローアップ監査よりも定期監査の範囲内でより多く考慮されます。フォローアップ監査は、是正処置に焦点が絞られています (C)。また、フォローアップ監査の結果は通常、監査チーム リーダーと監査クライアントの両方に報告され (F と G)、透明性と説明責任が確保されます。
研修中の監査人が正しく回答した 4 つの質問は、B、D、E、および H です。
これらの質問と回答は、ISO 19011:2018 の 6.712 項に指定されているフォローアップ監査の定義と目的と一致しています。フォローアップ監査は、前回の監査の結果として行われた是正処置の完了と有効性を検証するために実施されます (B、D)。フォローアップ監査はすべての監査で必須ではありませんが、監査プログラム、監査クライアント、またはその他の利害関係者によって要求される場合があります (E)。是正処置が満足のいくものでない場合、または合意された時間枠内に完了しない場合は、フォローアップ監査の結果、別のフォローアップ監査が行われることがあります (H)。その他の質問と回答は誤っているか、無関係です。フォローアップ監査では、新たな不適合を特定しようとすべきではありません。それが目的ではないためです (A)。フォローアップ監査では、合意された改善の機会と是正処置の両​​方を考慮する必要があります。これらはどちらも前回の監査の出力だからです。フォローアップ監査の結果は、監査クライアントだけでなく、前回の監査を実施した監査チームリーダーなどの他の関係者にも報告する必要があります（F、G）。参考文献：1：ISO
19011:2018、マネジメントシステムの監査に関するガイドライン、6.7 項\n2: PECB 認定 ISO/IEC 27001 主任監査員試験準備ガイド、ドメイン 6: ISO/IEC 27001 監査の終了

ソーシャル エンジニアリングとは、第三者があなたの信頼を操作したり、弱点を悪用したりして機密情報を入手する状況を作り出す手法です。ソーシャル エンジニアリングには、フィッシング メール、電話、なりすまし、おとりなど、さまざまな形式があります。ソーシャル エンジニアリングは、技術的な防御ではなく人的要因をターゲットにするため、情報セキュリティに対する一般的な脅威です。参照: CQI & IRCA ISO 27001:2022 主任監査員コース ハンドブック、26 ページ。 ISO/IEC 27001 主任監査員 - PECB、13 ページ。