スタッフがメッセージを送信したことを否定すると、情報の信頼性の側面が損なわれます。完全性は、情報の正確性、完全性、一貫性、信頼性を保証する情報の特性です。スタッフがメッセージを送信したことを否定すると、メッセージが他の誰かによって変更、偽造、削除、または否認されたことを意味し、情報の完全性が侵害されます。ISO/IEC 27001:2022 では、完全性を「正確性と完全性の特性」と定義しています (条項 3.24 を参照)。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、完全性とは何ですか?

情報セキュリティ ポリシーの目的は、情報セキュリティに関して経営陣に指示とサポートを提供することです。情報セキュリティ ポリシーは、組織内の意思決定と行動の指針となる意図または指示の表明です。情報セキュリティ管理の範囲、目的、原則、役割を定義します。また、情報セキュリティに対する一般的なアプローチとコンプライアンスの期待も確立します。情報セキュリティ ポリシーは、ISO/IEC 27001:2022 に基づく情報セキュリティ管理システム (ISMS) の基盤であり、組織は ISMS1 を確立、実装、維持、および継続的に改善する必要があります。したがって、正解は C です。参照: ISO/IEC 27000:2022、条項 3.47、ISO/IEC 27001:2022、条項 5.2。

トライアドとは、情報セキュリティの3つの要素、機密性、完全性、可用性を指します3。テクノロジーは、情報を不正アクセス、改ざん、紛失から保護するためのさまざまな制御と対策を実施する手段を提供するため、トライアドを結び付ける接着剤のようなものです3。参考文献：ISO
/IEC 27001:2022 主任審査員トレーニングコース - BSI

説明
物理的セキュリティ対策とは、火災、洪水、地震、盗難、破壊行為などの物理的な脅威や危険から情報および情報処理施設を保護する対策です。物理的セキュリティ対策には、ロック、アラーム、フェンス、カメラ、消火器、換気システムなどが含まれます。コンピュータ ルームは、システム管理部門の許可された担当者のみがアクセスできるパス リーダーによって保護されています。これは、コンピュータ ルームとその内容への不正な物理的アクセスを防ぐため、物理的セキュリティ対策の一例です。ISO/IEC 27001:2022 では、組織の情報および情報処理施設への不正な物理的アクセス、損傷、干渉を防ぐために、組織が物理的および環境的セキュリティ管理を実施することを要求しています (条項 A.11 を参照)。参考資料: CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース、ISO/IEC 27001:2022 情報技術
- セキュリティ技術 - 情報セキュリティ管理システム - 要件、物理的セキュリティとは何ですか?

情報セキュリティ管理システム (ISMS) を確立、実装、維持、および継続的に改善するための要件を規定する ISO/IEC 27001:2022 によれば、コントロール A.5.29 では、組織がビジネス継続管理プロセスを確立して維持し、破壊的なインシデントの後に必要なレベルで情報と情報システムの継続的な可用性を確保することが求められています1。組織は、重要な情報資産とプロセスを特定して優先順位を付け、破壊的なインシデントのリスクと影響を評価し、ビジネス継続計画 (BCP) を策定して実装し、BCP をテストしてレビューし、関係者が自分の役割と責任を認識していることを確認する必要があります1。したがって、ビジネス継続管理プロセスの情報セキュリティを検証する場合、ISMS 監査人は、監査基準に従ってこれらの側面が満たされていることを確認する必要があります。
制御 A.5.29 を検証するための監査証跡に含まれる 3 つのオプションは次のとおりです。
組織がモバイル デバイス上および在宅勤務中に情報セキュリティを管理する方法について、さらに証拠を収集します (コントロール A.6.7 に関連): このオプションは、スタッフがラップトップ、タブレット、スマートフォンなどのモバイル デバイスを使用して自宅で作業する場合に、情報と情報システムの機密性、整合性、可用性を保護するために組織が適切なコントロールをどのように実装したかを示す証拠を提供できるため、関連しています。これは、組織が在宅勤務とモバイル デバイスの使用に関するポリシーと手順を確立することを要求するコントロール A.6.7 に関連しています1。
事業継続計画がどのように、いつテストされたかについてのさらなる証拠を収集する (コントロール A.5.29 に関連): このオプションは、パンデミックなどのさまざまなシナリオに対する有効性と適合性を確認するために組織が BCP をテストおよびレビューした方法の証拠を提供できるため、関連しています。これは、計画された間隔で、または重大な変更が発生したときに組織が BCP をテストおよびレビューすることを要求するコントロール A.5.29 に関連しています1。
組織がどのようにして検査結果が陰性のスタッフのみが組織に入ることができるようにしているかについて、さらなる証拠を収集する (コントロール A.7.2 に関連): このオプションが関連しているのは、定期的なスタッフの自己検査の義務付けや健康状態アプリの使用など、スタッフや居住者の間での感染や病気の伝染のリスクを防止または軽減するために組織が適切なコントロールをどのように実装しているかについての証拠を提供できるためです。これはコントロール A.7.2 に関連しており、このコントロールでは、すべての従業員と請負業者が情報セキュリティの脅威と懸念、責任と賠償責任を認識し、この点で組織のポリシーと手順をサポートする準備ができていることを確認することを組織に要求しています1。
その他のオプションは、コントロールまたはその要件に関連していないため、コントロール A.5.29 の検証には関係ありません。例:
より多くのスタッフに在宅勤務についての感想をインタビューして、より多くの証拠を収集します (条項 4.2 に関連): このオプションは、組織がビジネス継続管理プロセスを確立して維持した方法や、中断を伴うインシデント後に情報と情報システムの継続的な可用性を確保した方法の証拠を提供しないため、関連がありません。これは、組織が利害関係者のニーズと期待を理解することを要求する条項 4.2 に関連している可能性がありますが、A.5.29 の管理に特に関連しているわけではありません。
組織が在宅勤務スタッフをサポートするためにどのようなリソースを提供しているかについて、さらに証拠を収集します (条項 7.1 に関連): このオプションは、組織がビジネス継続管理プロセスを確立して維持した方法や、中断を伴うインシデント後に情報と情報システムの継続的な可用性を確保した方法の証拠を提供しないため、関連がありません。これは、組織が ISMS に必要なリソースを決定して提供することを要求する条項 7.1 に関連している可能性がありますが、制御 A.5.29 に特に関連しているわけではありません。
組織がビジネスリスク評価を実施して、既存の入居者が介護施設からどれだけ早く退院できるかを評価する方法について、さらに証拠を収集します (条項 6 に関連): このオプションは、組織がビジネス継続管理プロセスを確立して維持した方法や、中断を伴うインシデント後に情報と情報システムの継続的な可用性を確保した方法の証拠を提供しないため、関連がありません。これは、組織が ISMS のリスクと機会に対処するための行動を計画することを要求する条項 6 に関連している可能性がありますが、A.5.29 の制御に特に関連しているわけではありません。
参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件