説明
チェックリストは、監査人が監査の目的と範囲に関連する情報を収集・検証するのに役立つツールです。チェックリストには、次のような利点があります。
* 関連する監査証跡の遵守の確保：チェックリストは、監査人が監査基準への適合性または不適合性を裏付ける証拠の出所を特定し、追跡するのに役立ちます。また、監査人が監査の重要な側面を見逃したり、見落としたりするのを防ぐのにも役立ちます。
* 監査計画の実施を確実にする：チェックリストは、監査人が監査計画を遵守し、それを遂行するのに役立ちます。監査計画には、監査の目的、範囲、基準、スケジュール、役割、責任など、監査の計画と詳細が記載されています。また、監査人が時間とリソースを効果的かつ効率的に管理するのにも役立ちます。
その他のオプションは、チェックリストを使用する利点ではありませんが、次のような利点があります。
* 毎回の監査で同じチェックリストをレビューなしで使用すること：これはチェックリスト使用のデメリットであり、硬直的で非効率的な監査アプローチにつながる可能性があります。チェックリストは、監査対象者や監査基準の状況、リスク、変更を考慮し、個々の監査に合わせてカスタマイズし、適応させる必要があります。また、チェックリストは、その妥当性と関連性を確保するために、定期的にレビューと更新を行う必要があります。
* インタビュー対象を特定の関係者に限定すること：これはチェックリストを使用する際のデメリットであり、監査の範囲と深度が制限される可能性があります。チェックリストは、監査人が監査にとって貴重な証拠や知見をもたらす可能性のある他の関係者や情報源へのインタビューを妨げるべきではありません。
* チェックリストは制約としてではなく、ガイドとして使用する必要があります。
* 監査期間の短縮：これは、チェックリストを使用することによるメリットとは必ずしも言えません。監査対象者のISMSの複雑さ、規模、成熟度、証拠の入手可能性と質、監査人の能力と経験、監査人と監査対象者間の協力とコミュニケーションのレベルなど、様々な要因に依存するためです。チェックリストは、効率性と組織性を向上させることで監査期間の短縮に役立つ可能性がありますが、より多くの証拠や検証が必要となるため、監査期間が長くなる可能性もあります。
* 必要に応じてチェックリストの内容を変更しない：これはチェックリストを使用する際のデメリットであり、表面的または不完全な監査につながる可能性があります。チェックリストは、たとえチェックリストに記載されていない場合であっても、監査中に発生した問題や懸念事項の調査や検討を監査人が妨げるべきではありません。チェックリストは補助的なものであり、代替として用いるべきではありません。
参考文献:
* ISO/IEC 27001:2022 主任監査人（情報セキュリティ管理システム）の目標とコンテンツ（Quality.org および PECB より）
* ISO 19011:2018 マネジメントシステムの監査に関するガイドライン [セクション6.2.2]

説明
第三者によるバーチャル監査とは、独立した認証機関がビデオ会議、画面共有、電子文書交換などのリモート技術を用いて実施する外部監査です。第三者によるバーチャル監査の目的は、情報セキュリティマネジメントシステム（ISMS）の適合性と有効性を検証し、適合証明書を発行することです。12 監査を開始する前に、被監査者に以下の事項について通知する必要があります。12
* インタビュー対象者には、事前に氏名と役職を述べてもらいます。これは、ISMSにおける本人確認と役割の確認に役に立ちます。これは、インタビュー対象者が関係者であること、そして監査に必要な情報と証拠を提供する権限を有していることを確認するためです。
* 監査が実施される部屋の360度ビューを要求します。これは、監査場所の物理的および環境的セキュリティを確認するためです。これは、監査対象情報の機密性、完全性、または可用性を損なう可能性のある、許可されていない人物やデバイスが近くに存在しないことを確認するためです。
その他の問題は、次の理由により、サードパーティの仮想監査には関連がなく、適切でもありません。
* 画面に映っている人物の身元を確認するため、IDカードの提示を求めます。事前に氏名と役職を尋ねており、かつ監査対象者の組織図や職員名簿にアクセスできる場合は、IDカードの提示は不要です。IDカードの提示を求めることは、監査対象者から押し付けがましい、あるいは失礼な行為と受け取られる可能性があります。
* 監査プロセスの記録のため、インタビュー対象者全員の写真を撮影します。これは、監査対象者およびインタビュー対象者のプライバシーや同意を侵害する可能性があるため、推奨されません。また、写真撮影は、監査対象者から非専門的または疑わしい行為とみなされる可能性があります。監査対象者および監査ツールから提供される監査記録と証拠に依拠する必要があります。
* 監査対象者の希望や権利を尊重するために許可された場合を除き、監査のいかなる部分も記録しないでください。品質保証と検証のために監査は常に記録する必要があるため、監査対象者にこのことを通知するのは妥当ではありません。監査の記録はISO/IECの要件でもあります。
27001規格と認証機関。監査を開始する前に、監査対象者に監査を記録することを伝え、同意を得る必要があります。
* 監査対象者は、オンライン活動に関連するすべてのリスクを評価し、監査プロセスのセキュリティを確保することを期待します。これは、ISMSのリスク評価と対応プロセスを整備することは監査対象者の責任と義務であるため、監査対象者に通知する必要はありません。監査対象者のリスク管理の実践と統制は、監査前ではなく、監査中に評価する必要があります。
参考文献:
1: ISO/IEC 27001:2022 主任審査員（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 主任審査員トレーニングコース（PECB 2）

説明
顧客設計文書のハードコピーを廃棄する最良の方法は、シュレッダーで細断することです。シュレッダー処理によって文書が確実に破壊され、権限のない者による復元やアクセスが不可能になるためです。顧客設計文書には、漏洩した場合に顧客や組織に損害を与える可能性のある機密情報が含まれている場合があります。したがって、文書を安全に廃棄するまで、その機密性と完全性を保護することが重要です。ゴミ箱に捨てたり、事務員に渡して他の用途に再利用してもらったり、筆記用具として再利用したりすることは、文書を不正アクセス、盗難、紛失、または破損の危険にさらす可能性があるため、安全な廃棄方法とは言えません。
ISO/IEC 27001:2022では、組織に対し、情報を含む媒体の安全な廃棄手順を実施することを要求しています（A.8.3.2項参照）。参考資料：CQIおよびIRCA認定ISO/IEC 27001:2022主任審査員研修コース、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項、安全な廃棄とは？

トライアドとは、情報セキュリティの3つの要素、すなわち機密性、完全性、可用性を指します3。テクノロジーは、情報を不正アクセス、改ざん、または紛失から保護するための様々な管理策や対策を実施する手段を提供することで、この3つを結びつける接着剤のような役割を果たします3。参考文献：ISO
/IEC 27001:2022 主任審査員養成コース - BSI

情報セキュリティマネジメントシステム（ISMS）の確立、実装、維持、および継続的な改善に関する要件を規定するISO/IEC 27001:2022では、6.2項において、組織は関連する機能およびレベルにおいて情報セキュリティ目標を設定することが求められています1。これらの目標は、情報セキュリティポリシーと整合していること、測定可能（実行可能な場合）または評価可能であること、監視されていること、伝達されていること、必要に応じて更新されていることが求められます1。したがって、組織の情報セキュリティ目標を監査する際には、ISMS監査人は監査基準に従ってこれらの側面を検証する必要があります。
研修中の ISMS 監査員からの回答のうち、ISO/IEC 27001:2022 への適合に関して懸念される 3 つの回答は次のとおりです。
* 経営幹部が今年度の情報セキュリティ目標を決定したか確認します。決定していない場合は、このタスクが完了するようにプログラムされているか確認します。この回答は、研修中の監査人が、経営幹部レベルだけでなく、関連する機能レベルやレベルで情報セキュリティ目標を設定する必要性を認識していないことを示唆しているため、懸念を招きます。また、研修中の監査人が、情報セキュリティ目標の決定における遅延や延期を容認していることも示唆しており、ISMSのパフォーマンスと有効性に影響を与える可能性があります。
* 情報セキュリティ目標が紙に文書化されていることを確認します。これにより、達成すべき内容、達成方法、そして達成期限が全員に明確になります。この回答は、研修中の監査人が、情報セキュリティ目標を単に紙に書き留めるだけでなく、測定可能（実行可能であれば）または評価可能な形で設定する必要があることを認識していないことを示唆しているため、懸念を招きます。また、研修中の監査人が、情報セキュリティ目標を文書化および伝達するための、電子記録やデジタル記録、ポスター、ニュースレターなど、様々な媒体や形式の柔軟性と適合性を認識していないことも示唆しています。
* 各目標に完了日が設定されていること、および「達成期限」が設定されていない目標がないことを確認します。この回答は懸念材料となります。なぜなら、研修中の監査人が、特定の日付までに完了するだけでなく、監視対象となる情報セキュリティ目標を設定する必要があることを認識していないことを示唆しているからです。また、研修中の監査人が、組織の内部または外部の状況に変化が生じた場合、あるいは新たなリスクや機会が生じた場合など、情報セキュリティ目標を適宜更新する可能性と必要性​​を認識していないことも示唆しています。
研修中の ISMS 監査員からのその他の応答は受け入れ可能であり、ISO/IEC 27001:2022 への適合に関して懸念はありません。たとえば、各情報セキュリティ目標が、その目標を達成するためにそれを認識する必要がある人々にどのように伝達されているかを確認することは、6.2 項の伝達の側面の検証に関連します。状況に応じて修正またはキャンセルすることを目的として、情報セキュリティ目標を定期的に見直すプロセスがあることを確認することは、6.2 項の更新の側面の検証に関連します。各目標を達成するために必要な予算、人材、および資材が決定されていることを確認することは、6.2 項の計画の側面の検証に関連します。すべての情報セキュリティ目標が測定可能であることを確認することは、6.2 項の測定可能性の側面の検証に関連します。測定できない場合、組織は目標に対する進捗状況を追跡できません。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件