第三者によるバーチャル監査とは、独立した認証機関がビデオ会議、画面共有、電子文書交換などのリモート技術を用いて実施する外部監査です。第三者によるバーチャル監査の目的は、情報セキュリティマネジメントシステム（ISMS）の適合性と有効性を検証し、適合証明書を発行することです。12 監査を開始する前に、被監査者に以下の事項について通知する必要があります。12
* インタビュー対象者には、事前に氏名と役職を述べてもらいます。これは、ISMSにおける本人確認と役割の確認に役に立ちます。これは、インタビュー対象者が関係者であること、そして監査に必要な情報と証拠を提供する権限を有していることを確認するためです。
* 監査が実施される部屋の360度ビューを要求します。これは、監査場所の物理的および環境的セキュリティを確認するためです。これは、監査対象情報の機密性、完全性、または可用性を損なう可能性のある、許可されていない人物やデバイスが近くに存在しないことを確認するためです。
その他の問題は、次の理由により、サードパーティの仮想監査には関連がなく、適切でもありません。
* 画面に映っている人物の身元を確認するため、IDカードの提示を求めます。事前に氏名と役職を尋ねており、かつ監査対象者の組織図や職員名簿にアクセスできる場合は、IDカードの提示は不要です。IDカードの提示を求めることは、監査対象者から押し付けがましい、あるいは失礼な行為と受け取られる可能性があります。
* 監査プロセスの記録のため、インタビュー対象者全員の写真を撮影します。これは、監査対象者およびインタビュー対象者のプライバシーや同意を侵害する可能性があるため、推奨されません。また、写真撮影は、監査対象者から非専門的または疑わしい行為とみなされる可能性があります。監査対象者および監査ツールから提供される監査記録と証拠に依拠する必要があります。
* 監査対象者の希望や権利を尊重するために許可された場合を除き、監査のいかなる部分も記録しないでください。監査対象者にこのことを通知するのは妥当ではありません。監査は常に記録されるべきです。
* 品質保証および検証目的。監査の記録はISO/IECの要件でもあります。
27001規格と認証機関。監査を開始する前に、監査対象者に監査を記録することを伝え、同意を得る必要があります。
* 監査対象者は、オンライン活動に関連するすべてのリスクを評価し、監査プロセスのセキュリティを確保することを期待します。これは、ISMSのリスク評価と対応プロセスを整備することは監査対象者の責任と義務であるため、監査対象者に通知する必要はありません。監査対象者のリスク管理の実践と統制は、監査前ではなく、監査中に評価する必要があります。
参考文献:
1: ISO/IEC 27001:2022 主任審査員（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 主任審査員トレーニングコース（PECB 2）

説明
* A. 他のデータセンターは、同じ通信グループに属しているにもかかわらず、外部プロバイダーとして扱われていることを確認します。これは適切です。ISO 27001:2022の8.1.4項では、組織は情報セキュリティマネジメントシステムに関連する外部から提供されるプロセス、製品、またはサービスが管理されていることを確認することが求められているためです。外部から提供されるプロセス、製品、またはサービスとは、関係の程度に関わらず、外部の当事者から提供されるものを指します。
* 組織と連携して運用する。したがって、同じ通信グループ内の他のデータセンターは外部プロバイダーとして扱われ、他の外部プロバイダーと同様の管理の対象となるべきである12
* B. 外部プロバイダーが、製品またはサービスの使用から生じるあらゆるリスクを組織に通知するための文書化されたプロセスを確立していることを確認します。これは、ISO 8.1.4の条項に定められているため適切です。
27001:2022では、組織に対し、外部プロバイダーとの情報セキュリティに関する適切な契約要件を履行することを要求しています。契約要件の一つとして、外部プロバイダーが、自社の製品またはサービスの使用から生じるあらゆるリスク（セキュリティインシデント、脆弱性、組織の情報セキュリティに影響を与える可能性のある変更など）を組織に通知する義務を負うことが挙げられます。外部プロバイダーは、このような通知がタイムリー、正確、かつ完全であることを保証するための文書化されたプロセスを整備する必要があります12。
* E. 組織が外部提供者のパフォーマンスを定期的に監視、レビュー、評価することを確実にします。これは、ISO 27001:2022の8.1.4項で、組織は外部から提供されるプロセス、製品、またはサービスのパフォーマンスと有効性を監視、レビュー、評価することが求められているためです。組織は、外部提供者の成果物と活動の適合性と適切性を測定・検証し、必要に応じてフィードバックと改善策を提供するためのプロセスを整備する必要があります。また、組織は、監視、レビュー、評価の結果の記録を保持する必要があります12
* F. 組織がISMSに関して外部プロバイダーとのコミュニケーションの必要性を判断していることを確認します。これは、ISO 27001:2022の7.4.2項で、組織が情報セキュリティマネジメントシステムに関連する内部および外部コミュニケーションの必要性（外部プロバイダーとのコミュニケーションを含む）を判断することを要求しているため適切です。組織は、そのようなコミュニケーションの目的、内容、頻度、方法、および責任を定義し、情報セキュリティポリシーおよび目標と整合していることを確認する必要があります。また、組織は、コミュニケーションの実施の証拠として、文書化された情報を保管する必要があります12。以下の活動は、ISO 27001:2022に基づく外部プロバイダーの評価には適切ではありません。
27001:2022:
* C. 組織が情報の機密性、完全性、およびアクセス性を維持するために重要と特定した各プロセスについて、予備の外部プロバイダーを確保します。ISO 27001:2022では、組織が各重要プロセスについて予備の外部プロバイダーを確保することを要求していないため、これは適切ではありません。組織は、外部プロバイダーの障害または中断に備えて、緊急時対応計画またはバックアップソリューションを用意することもできますが、これは必須要件ではありません。組織は、外部プロバイダーに関連するリスクと機会を評価し、適切な対応策を決定する必要があります。これには、予備の外部プロバイダーの確保が含まれる場合と含まれない場合があります。12
* D. 外部から提供される製品やサービスは監査の必要がないため、監査活動は外部から提供されるプロセスに限定します。しかし、ISO 27001:2022の8.1.4項では、組織は情報セキュリティマネジメントシステムに関連する外部から提供されるプロセス、製品、またはサービスを管理することが求められているため、これは適切ではありません。外部から提供される製品やサービスには、組織の情報セキュリティに影響を与える可能性のあるソフトウェア、ハードウェア、データ、またはクラウドサービスが含まれる場合があります。したがって、監査活動は、該当する場合、外部から提供されるプロセスと製品またはサービスの両方を対象とする必要があります12
* G. 私は、トップマネジメントが外部ISMSプロセスと内部ISMSプロセスを提供する者の役割と責任を割り当てていることを確認します。ISO 27001:2022の5.3項では、トップマネジメントが内部ISMSプロセスと外部ISMSプロセスを提供する者の役割と責任を割り当てることが求められているため、これは適切ではありません。
* 情報セキュリティ管理システムは組織内におけるものであり、外部プロバイダー向けではありません。外部プロバイダーは、組織に提供するプロセス、製品、またはサービスについて、自らの役割と責任を割り当てる責任を負います。組織は、外部プロバイダーが自らの役割と責任について十分な能力と認識を有し、組織の情報セキュリティ要件を遵守する契約上の義務を負っていることを保証する必要があります12
* H. 組織が外部プロバイダーをランク付けし、業務の大部分を最高評価を受けたプロバイダーに割り当てることを保証します。ISO 27001:2022では、組織が外部プロバイダーをランク付けしたり、そのようなランク付けに基づいて業務を割り当てたりすることを要求していないため、これは適切ではありません。組織は外部プロバイダーのパフォーマンスと有効性を評価し、比較することもできますが、これは必須要件ではありません。組織は、組織に関連する情報セキュリティ基準と目標に基づいて外部プロバイダーを選定し、利用する必要があります12 参考文献：
1: ISO/IEC 27001:2022 主任審査員（情報セキュリティマネジメントシステム）コース（CQIおよびIRCA認定トレーニング1） 2: ISO/IEC 27001 主任審査員トレーニングコース（PECB 2）

これはソーシャルエンジニアリング脅威の一例です。ソーシャルエンジニアリング脅威とは、人を操ったり騙したりして機密情報を漏洩させたり、不正な行動をとらせたり、情報資産のセキュリティを侵害したりする人為的な脅威です。ソーシャルエンジニアリングの手法は、信頼、好奇心、恐怖、貪欲といった、人々の心理的、感情的、行動的な脆弱性を悪用します。ヘルプデスクの担当者を名乗ってパスワードを尋ねる人物は、あなたを騙して認証情報を入手しようとしています。認証情報を使用すると、あなたのアカウントやシステムに無断でアクセスされる可能性があります。したがって、正解はCです。参考：ISO/IEC 27000:2022、第3.25項「ソーシャルエンジニアリングとは？ | 定義と例」

バックアップ メディアをサーバーと同じ安全な場所に保管すると、組織がさらされるリスクは、火災後に情報システムを復元できなくなることです。バックアップ メディアとは、データまたは情報のコピーであり、損失、破損、または破壊された場合に元のデータまたは情報を復元するために使用できます。バックアップ メディアは、可用性を確保し、物理的な脅威や危険から保護するために、元のデータまたは情報とは別の場所、できれば遠隔地またはオフサイトの場所に保管する必要があります。バックアップ メディアをサーバーと同じ安全な場所に保管すると、元のデータとバックアップ データの両方が、火災、洪水、盗難などの同じ物理的な脅威と危険に対して脆弱になります。安全な場所で火災が発生すると、サーバーとバックアップ メディアの両方が損傷または破壊され、情報システムを復元して通常の業務を再開できなくなる可能性があります。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニングコース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、バックアップ メディアとは何ですか?

Explanation:
監査結果とは、収集された監査証拠を監査基準に照らして評価した結果です。