説明
不適合への対応として ABC が行うと予想される修正および是正措置の 3 つのオプションは次のとおりです。
B: ABC は WeCare とのサービス契約をキャンセルします。
E: ABC は、すべてのサプライヤーに対して情報セキュリティ パフォーマンスのバックグラウンド チェックを導入します。
F: ABC は、第三者に関わるすべての適用法および契約上の要件の遵守を定期的に監視します。
B: このオプションは、ABC が不適合に対処するために実行できる可能性のある修正および是正措置です。修正とは、検出された不適合を排除するために実行される措置であり、是正措置とは、不適合の原因を排除し、再発を防ぐために実行される措置です1。WeCare とのサービス契約をキャンセルすることで、ABC は居住者の個人データの不正使用を止め、居住者のプライバシーと権利を保護することができます。これにより、居住者とその家族からのさらなる苦情や法的問題を防ぐこともできます。ただし、このオプションには、サービス プロバイダーの喪失、代替ソリューションを見つける必要性、居住者の健康への影響の可能性など、いくつかの欠点もあります。
E: このオプションは、ABC が不適合に対処するために実行できる是正措置です。すべてのサプライヤーの情報セキュリティ パフォーマンスに関するバックグラウンド チェックを導入することで、ABC は、取り扱う情報の機密性、完全性、可用性を尊重する信頼できるパートナーを選択して協力するようにできます。また、これは、組織がサプライヤーによる組織の資産へのアクセスに関連するリスクを軽減するための情報セキュリティ要件に同意し、文書化することを要求する情報セキュリティ管理 A.15.1.1 (サプライヤー関係の情報セキュリティ ポリシー) に準拠するのにも役立ちます2。
F: このオプションは、ABC が不適合に対処するために実行できる可能性のある是正措置です。第三者に関わるすべての適用法および契約上の要件への準拠を定期的に監視することで、ABC はサプライヤーが情報セキュリティに関する義務と責任を果たしていることを確認できます。これは、組織が従うべき関連する法律、規制、契約、およびその他の要件を特定し、文書化し、最新の状態に保つことを組織に要求する情報セキュリティ管理 A.18.1.1 (適用法および契約上の要件の特定) への ABC の準拠にも役立ちます3。
参考文献:
1: ISO 27000:2018 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 概要と用語、条項3.9および3.10 2: ISO/IEC 27001:2022 - 情報技術
- セキュリティ技術 - 情報セキュリティ管理システム - 要件、附属書A、管理A.15.1.1 3: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、附属書A、管理A.18.1.1

ISMS の範囲の内容を定義する正しい記述は、ISMS の範囲では発生した情報セキュリティの問題と利害関係者の要件を考慮する必要があるというものです。
ISO/IEC 27001:2022 によれば、ISMS の範囲は、内部および外部の問題、利害関係者の要件と期待、組織と他の関係者間のインターフェースと依存関係、および情報セキュリティ リスクを考慮して決定する必要があります。また、ISMS の範囲は、組織の戦略的方向性と一致し、その目的と状況に適したものでなければなりません。
ISMSの範囲は、リスク評価と利害関係者のニーズと期待によって正当化されない限り、政府の推奨によって制限されたり、外部のサービスプロバイダーを除外したり、単一の部門または機能に基づいたりしてはなりません。参照：= ISO/IEC 27001：2022、条項
4.3; PECB 候補者ハンドブック ISO 27001 主任審査員、15 ページ; ISO 27001 適用範囲ステートメント | ISMS の適用範囲を設定する方法 - Advisera。

ISO 27001:2022 の条項 8.1.4 によれば、組織は、情報セキュリティ管理システムに関連する外部から提供されるプロセス、製品、またはサービスが管理されていることを確実にする必要があります。これには、ICT 機器を回収に送る顧客などの外部プロバイダーとの情報セキュリティに関連する適切な契約要件の実装が含まれます12 この場合、組織は ICT 回収サービスを提供しており、これには機密情報や秘密情報が含まれている可能性のある顧客の ICT 機器の処理が含まれます。組織は、顧客の ICT 機器が安全に、かつ顧客の情報セキュリティ要件に従って取り扱われることを確実にするためのプロセスを導入する必要があります。プロセスには、顧客の身元と権限の確認、機器の在庫と状態の確認、機器または顧客に関する情報が記載されているラベルやステッカーの除去または破棄、機器に保存されているデータのワイプまたは消去、実行したアクションと達成した結果の文書化などの手順を含める必要があります12 監査人が、サーバーの名前、IP アドレス、管理者パスワードを示すステッカーが貼られた 2 台のサーバーがベンチ上にあることに気付いたという事実は、顧客の IT セキュリティに関連する入荷品の処理プロセスが効果的でないか、または遵守されていないことを示しています。これにより、顧客の情報またはシステムへの不正アクセス、開示、または変更のリスクが生じる可能性があります。したがって、監査人は監査の発見事項を記録し、顧客の IT セキュリティに関連する入荷品の処理プロセスを確認し、ISO 27001:2022 の条項 8.1.4 に違反していないかどうかを判断する必要があります12 その他のアクションは、次の理由により適切ではありません。
* A. ICT マネージャーに情報セキュリティ インシデントの記録と情報セキュリティ インシデント管理プロセスの開始を依頼することは、組織自身の情報やシステムに影響を与える情報セキュリティ インシデントではないため、適切ではありません。情報セキュリティ インシデントとは、ビジネス オペレーションを危険にさらし、情報セキュリティを脅かす可能性の高い、単一または一連の望ましくないまたは予期しない情報セキュリティ イベントと定義されます12 この場合、情報セキュリティ イベントは組織の情報やシステムではなく、顧客の情報やシステムに影響を与えます。したがって、組織は情報セキュリティ インシデント管理のプロセスではなく、顧客の IT セキュリティに関連する入荷品の取り扱いのプロセスに従う必要があります。
* C. 監査人が監査結果で見たものを記録するが、それ以上の措置を講じないことは、
* 問題の根本的な原因や影響に対処しないため、適切ではありません。監査人は、組織の情報セキュリティ管理システムの有効性とコンプライアンスを検証し、不適合や改善の機会を報告する責任があります12 したがって、監査人は、顧客の IT セキュリティに関連する入荷品の取り扱いプロセスを確認し、ISO 27001:2022 の条項 8.1.4 に不適合があるかどうかを判断する必要があります。
* D. 管理策 5.31 の法律、法令、規制および契約上の要求事項に対して不適合を提起することは、この管理策が問題に関連していないため、適切ではありません。管理策 5.31 では、組織が情報セキュリティ管理システムに適用される法律、法令、規制および契約上の要求事項を特定し、遵守することを要求しています12 この場合、問題は、組織が法律、法令、規制および契約上の要求事項に準拠しているかどうかではなく、情報セキュリティ管理システムに関連する外部から提供されるプロセス、製品、またはサービスに対する組織の管理に関するものです。したがって、監査人は、顧客の IT セキュリティに関連する入荷品の取り扱いプロセスを確認し、ISO 27001:2022 の条項 8.1.4 に不適合があるかどうかを判断する必要があります。
* E. 管理策 8.20「ネットワーク セキュリティ」(ネットワークおよびネットワーク デバイスは、システムおよびアプリケーション内の情報を保護するために、セキュリティ保護、管理、および制御される必要があります) に対して不適合を報告しても、この管理策は問題に関連していないため、適切ではありません。管理策 8.20 では、組織がシステムおよびアプリケーション内の情報を保護するために、独自のネットワークおよびネットワーク デバイスをセキュリティ保護、管理、および制御することを要求しています12 この場合、問題は組織のネットワーク セキュリティに関するものではなく、情報セキュリティ管理システムに関連する外部から提供されるプロセス、製品、またはサービスに対する組織の管理に関するものです。したがって、監査人は、顧客の IT セキュリティに関連する入荷品の取り扱いプロセスを確認し、ISO 27001:2022 の条項 8.1.4 に不適合があるかどうかを判断する必要があります。
* F. ラベルを剥がして監査を続行するよう監査対象者に依頼することは、問題の根本原因や影響に対処することにはならないため適切ではありません。監査人は、監査中に監査対象の業務に干渉したり、是正措置を提案したりすべきではありません。そうすると、監査人の客観性と公平性が損なわれるからです12 監査人は、顧客のITセキュリティに関連する入荷品の取り扱いプロセスを確認し、条項に違反していないかどうかを判断する必要があります。
ISO 27001:2022 の 8.1.4。
参考文献:
1: CQIおよびIRCA認定トレーニングによるISO/IEC 27001:2022主任審査員（情報セキュリティ管理システム）コース1 2: PECBによるISO/IEC 27001主任審査員トレーニングコース2

Explanation:
この文を最もよく完成させる単語は「assess」と「recommendation」です。文は次のようになります。
「監査計画とは、認証承認の推奨を決定する目的で、会社のすべての領域を評価する監査チームの意図を表明したものです。」 説明: 私の定義済みツールの Web 検索結果によると、サードパーティ監査計画とは、組織の ISMS が ISO 27001 規格に準拠しているかどうかを確認するために独立した認証機関が実施する外部監査の範囲、目的、基準、および方法論を説明する文書です12。監査計画には、監査スケジュール、監査チーム、監査場所、および監査成果物も含まれます23。サードパーティ監査の主な成果物の 1 つは、監査結果、監査結論、および監査推奨事項をまとめた監査レポートです34。監査推奨事項は、組織の ISMS が認証要件を満たしているかどうか、および認証を付与、維持、一時停止、または取り消す必要があるかどうかに関する監査チームの意見です45。
したがって、監査計画の目的は、監査チームが会社のすべての領域を評価する意図を述べること、つまり ISMS のパフォーマンスと有効性を評価し、認証承認の推奨を決定すること、つまり ISMS の認証ステータスに関する判断を下すことです。 選択肢にある他の単語、たとえば評決、許可、報告、検査、質問などは、監査計画の意味を正確に反映していません。 評決は、監査チームではなく、裁判官または陪審員によってなされる正式な決定です。 許可は、何かを行うための法的承認であり、適合の証明ではありません。 報告書は、監査結果を提示する文書であり、監査の意図ではありません。 検査は、何かを目視で検査することであり、ISMS の包括的な評価ではありません。 質問は、情報の要求であり、推奨事項の決定ではありません。