情報セキュリティ管理システム (ISMS) の確立、実装、維持、および継続的な改善に関する要件を規定する ISO/IEC 27001:2022 によれば、条項 5.2 では、情報セキュリティ目標を設定するためのフレームワークを提供する情報セキュリティ ポリシーを確立することがトップマネジメントに求められています1。条項 6.2 では、情報セキュリティ目標が関連する機能とレベルで確立されていることを確認することがトップマネジメントに求められています1。したがって、情報セキュリティ ポリシーと目標がトップマネジメントによって確立されていることを確認する場合、ISMS 監査人は、トップマネジメントの関与とコミットメントを示す関連文書と記録を確認する必要があります。
モバイル デバイスのポリシーと目標が実装され、有効であることを確認するには、ISMS 監査人が、ポリシーと目標がどのように伝達、監視、測定、分析、評価されているかを示す関連ドキュメントと記録を確認する必要があります。また、監査人は、ポリシーに記載されている制御の実装をサンプリングして検証する必要があります。
モバイル デバイスのポリシーと目的の検証に関連する監査証跡の 3 つのオプションは次のとおりです。
* 内部監査レポートを確認して、IT 部門が監査されていることを確認する: このオプションは、モバイル デバイスとそのセキュリティの管理を担当する IT 部門が、モバイル デバイスのポリシーと目標の実装における適合性と有効性についてどのように評価されたかを示す証拠を提供できるため、重要です。内部監査レポートでは、モバイル デバイスのポリシーと目標に関連する不適合、是正措置、改善の機会も明らかにできます。
* 勤務中の医療スタッフからいくつかのモバイル デバイスをサンプリングし、資産登録簿でモバイル デバイス情報を検証する: このオプションは、居住者のデータの処理と保存に関与する医療スタッフが使用するモバイル デバイスが資産登録簿に登録され、物理的な保護が有効になっているという証拠を提供できるため、重要です。これにより、モバイル デバイス ポリシーに記載されている 2 つのコントロールの実装と有効性を検証できます。
* 資産台帳を確認し、会社のすべてのモバイルデバイスが登録されていることを確認します。このオプションは
* ISMS の範囲内にある会社のモバイル デバイスがどのように識別され、管理されているかの証拠を提供できるため、関連性があります。これにより、モバイル デバイス ポリシーに記載されている制御の 1 つが実装され、有効であることが確認できます。
監査証跡のその他のオプションは、ポリシーや目標、あるいはそれらの実装や有効性に関連しないため、モバイル デバイスのポリシーと目標の検証には関係ありません。例:
* 受付担当者にインタビューして、介護施設に入る前にすべての訪問者と従業員のバッグがチェックされていることを確認する: このオプションは、モバイル デバイスのポリシーと目標がどのように実装されているか、または有効であるかの証拠を提供しないため、関連性がありません。これは、物理的なセキュリティまたはアクセス制御に関する別のポリシーまたは目標に関連している可能性がありますが、モバイル デバイスに固有のものではありません。
* 訪問者名簿を確認し、介護施設に訪問者が個人の携帯電話を持ち込めないようにする: このオプションは、モバイル デバイスのポリシーと目標がどのように実装されているか、または有効であるかの証拠を提供しないため、関連性がありません。これは、情報セキュリティの認識またはコンプライアンスに関する別のポリシーまたは目標に関連している可能性がありますが、モバイル デバイスに固有のものではありません。
* デバイスのサプライヤーにインタビューして、ISMS ポリシーを認識していることを確認します。このオプションは、モバイル デバイスのポリシーと目標がどのように実装されているか、または有効であるかの証拠を提供しないため、関連性がありません。サプライヤーとの関係における情報セキュリティに関する別のポリシーまたは目標に関連している可能性がありますが、モバイル デバイスに固有のものではありません。
* 情報セキュリティ ポリシーと情報セキュリティ目標の確立へのトップマネジメントの関与を確認するためにインタビューする: このオプションは、モバイル デバイスのポリシーと目標がどのように実装されているか、または有効であるかの証拠を提供しないため、関連性がありません。これは、情報セキュリティ ポリシーと目標がトップマネジメントによって確立されたことを確認することに関連している可能性がありますが、モバイル デバイスに固有のものではありません。
参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件

この訓練は組織の事業継続計画と緊急対応手順の一部であるため、参加する必要があります。この訓練は、組織の火災事故への備えの有効性と効率性をテストし、人員と資産の安全とセキュリティを確保することを目的としています。訓練に参加することで、組織の情報セキュリティ ポリシーと文化に準拠していること、および火災事故の潜在的なリスクと影響を認識していることを実証することになります。また、この訓練は、火災緊急事態への対応方法に関するスキルと知識を習得し、向上させる機会でもあります。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、火災訓練が重要な理由

以下の記述は真実です:
認証機関の監査人の役割には、組織の法的要求事項への準拠を保証するためのプロセスを評価することが含まれます。これは、ISO/IEC 27001:2022 標準および適用される法的および規制上の要求事項に対する組織の ISMS の有効性と適合性を評価する監査人の責任の一部です。
第三者監査では、監査人は組織が法的要件の変更をどのように認識しているかを評価します。これは、組織が情報セキュリティに関連する法的要件やその他の要件を特定して更新するためのプロセスを確立し、維持していることを確認する監査人の責任の一部です。次の記述は誤りです。
認証機関の監査の一環として、監査員は組織の法令遵守状況を検証する責任があります。しかし、これは真実ではありません。監査員は組織の法令遵守状況について法的助言や判断を行う権限や資格を持っていないからです。監査員は監査中に観察された遵守または非遵守の証拠を報告することしかできませんが、法令遵守を確実にする最終的な責任は組織にあります。参考資料: : CQI & IRCA ISO 27001:2022 主任監査員コース ハンドブック、66 ページ。 : CQI & IRCA ISO 27001:2022 主任監査員コース ハンドブック、67 ページ。 : ISO/IEC 27001 主任監査員 - PECB、22 ページ。

完全性に対する脅威とは、情報の正確性、完全性、または信頼性を損なう可能性のあるものすべてを指します。偶発的なデータ変更は、情報が不正確または不整合になる可能性があるため、このような脅威の一例です。ケーブルの緩み、システムの再起動、またはデータの私的使用は、完全性に対する脅威ではなく、可用性または機密性に対する脅威です。ISO/IEC 27001:2022 では、完全性を「正確性と完全性の特性」と定義しています (条項 3.24 を参照)。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任監査員トレーニング コース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、完全性とは何ですか?