説明
ISO/IEC 27001:2022 の条項 8.2.1 によれば、組織は、情報および情報処理施設へのアクセスが、アクセス制御ポリシーに基づき、アクセス制御のビジネス要件に従って、許可されたユーザーに限定されることを保証する必要があります2。したがって、機密性の高いファイルへのアクセスは、業務上知る必要がある従業員のみに許可され、請負業者、非従業員、または NDA に署名した従業員には許可されません。参考資料: ISO/IEC 27001:2022 主任監査員 (情報セキュリティ管理システム) | CQI | IRCA

Explanation:
監査結果を決定するには、監査証拠を監査基準に照らして評価する必要があります。
監査証拠とは、監査人が監査プロセス中に入手した情報であり、監査意見または結論を形成するための基礎として使用されます12。監査証拠には、記録、文書、声明、観察、インタビュー、またはテスト結果が含まれます12。
監査基準とは、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、規制、または要件です12。監査基準は、ISO 標準、業界のベスト プラクティス、法的義務などの内部または外部の情報源から導き出される可能性があります12。
監査結果は、監査証拠を評価し、それを監査基準13と比較するプロセスの結果です。監査結果は、監査基準が満たされている (適合) か、満たされていない (不適合) かを示します。また、ベスト プラクティスや改善の機会を特定することもできます13。
参考文献 :
ISO 19011:2022 監査管理システムのガイドライン
ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 監査結果の要件コンポーネント - 内部監査人協会

ここで説明したシナリオはフィッシング攻撃の典型的な例です。フィッシング攻撃は、電子通信で攻撃者が信頼できる組織を装うソーシャルエンジニアリングの脅威の一種です。目的は、個人を騙して機密情報を提供させることです。これは、攻撃者が個人情報に不正アクセスしようとするため、不正なアクションタイプの脅威です。参考文献: = フィッシングを脅威とみなすこの考え方は、情報セキュリティ管理システムの原則と一致しており、フィッシング攻撃とその防止策を説明するリソースによってサポートされています。

ISO/IEC 27001:2022 の情報セキュリティ管理システムの第三者認定認証は、組織の管理システムが維持され、有効であること、つまり、標準の要件に準拠し、組織の目的とポリシーを満たし、情報セキュリティに関連するリスクと機会に対処していることを組織と利害関係者に保証します。第三者認定認証は、組織の管理システムが情報セキュリティに対して体系的なアプローチを採用していることも実証します。つまり、計画、実行、確認、改善 (PDCA) サイクルに従い、リスクに基づく思考の原則を適用し、組織とその利害関係者の状況とニーズを考慮します。