表を完成させるには、記入したい空白部分をクリックして赤くハイライト表示し、下の選択肢から該当するテストをクリックしてください。または、各選択肢を適切な空白部分にドラッグ＆ドロップすることもできます。
参照：
[ISO 19011:2022 マネジメントシステムの監査に関するガイドライン]
[ISO/IEC 17021-1:2022 適合性評価 - マネジメントシステムの監査および認証を行う機関に対する要求事項 - パート1：要求事項]

情報セキュリティ管理システム（ISMS）の確立、実装、維持、および継続的な改善に関する要求事項を規定するISO/IEC 27001:2022では、条項7.2において、組織はISMSのパフォーマンスに影響を与える業務を組織の管理下で実施する人員の必要な力量を判断し、必要な力量を取得または維持するためにトレーニングを提供するなどの措置を講じることが求められています1。管理策A.6.3では、組織はすべての従業員と請負業者が情報セキュリティの脅威と懸念、それぞれの責任と賠償責任を認識し、この点に関する組織のポリシーと手順をサポートする準備ができていることを保証することが求められています2。したがって、ISMS監査人が情報セキュリティインシデントトレーニングの有効性を改善できると判断した場合、これは条項7.2と管理策A.6.3に関連する改善の機会（OFI）を示しています。
ISO/IEC 27001:2022 によれば、9.1 項では組織に対し、ISMS のパフォーマンスと有効性を監視、測定、分析、評価することが求められています1。管理策 A.5.24 では、組織に対し、情報セキュリティに関する事象および弱点を報告するための手順を定義および適用することが求められています2。したがって、ISMS 監査人がサンプリングインタビューの結果に基づき、インタビュー対象者の誰も、担当者の役割と責任を含むインシデント管理手順の報告プロセスを説明できなかったと判断した場合、これは 9.1 項および管理策 A.5.24 に適合していない不適合（NC）を示します。
その他の選択肢は、与えられた情報に基づいて監査結果を準備するための正しい選択肢ではありません。例えば、情報セキュリティの弱点、イベント、およびインシデントが報告されている場合、これは9.1項および管理A.5.24に準拠しているため、不適合にはなりません。情報セキュリティ対応トレーニングが実施され、その有効性が評価されている場合、これは7.2項および管理A.6.3に準拠しているため、不適合にはなりません。情報セキュリティインシデントトレーニングが不合格だった場合、これは必ずしも7.2項または管理A.6.3への不適合を示すとは限らないため、不適合にはなりません。情報セキュリティの弱点、イベント、およびインシデントが報告されている場合、これはすでに9.1項および管理A.5.24に準拠しているため、改善の機会はありません。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、ISO/IEC 27002:2013 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理のための実践規範

12の総合的な能力：
* 監査範囲と基準：監査範囲は、監査の対象となる場所、プロセス、機能、期間など、監査の範囲と境界を定義します。監査基準は、監査証拠を比較するための基準として使用される一連のポリシー、手順、標準、または要件です。
監査の範囲と基準によって監査の複雑さと範囲が決まり、監査の関連するすべての側面をカバーするために必要な監査人の数と専門知識に影響します。
* 監査目的を達成するために必要な監査チームの総合的な能力：監査チームは、監査を効果的かつ効率的に実施し、信頼性と信用性の高い監査結果を提供するために、適切な知識、スキル、経験を有する必要がある。監査チームの能力には、以下の要素が含まれるべきである12。
* 一般的能力: 監査の計画、実施、報告、フォローアップなどの監査の原則と方法を適用する能力、および倫理的行為、公正な提示、専門家としての配慮、独立性、公平性などの監査人の個人的な行動と特性。
* 分野およびセクター固有の能力: 情報セキュリティ管理システム (ISMS) の要件、情報セキュリティのリスクと管理、法的および規制上の義務、組織の状況と文化、プロセスと活動、製品とサービスなど、監査対象組織の監査基準と関連する技術的または業界的側面を理解し、適用する能力。
* 監査チームリーダーの能力: 監査活動の調整、監査プログラムマネージャーおよび監査対象者とのコミュニケーション、監査関連の問題の解決、監査作業および監査報告書の品質と一貫性の確保など、監査チームと監査プロセスを管理する能力。
監査プログラムの管理責任者は、特定の監査の監査チームの規模と構成を決定する際に、以下の要素を監査プロセスとは無関係または不適切であるため、考慮するべきではない12。
* 顧客関係：監査チームは、監査対象者また​​はその他の利害関係者とのいかなる個人的または職業的な関係にも左右されるべきではありません。監査の客観性と公平性を損なう可能性があるためです。監査チームは、監査結果または監査決定に影響を与える可能性のある利益相反や自己利益を回避すべきです。
* 監査チームリーダーの職位：監査チームリーダーは、組織内または監査プログラム内での職位や地位ではなく、能力と経験に基づいて選任されるべきです。監査チームリーダーは、職位や地位に関わらず、監査チームと監査プロセスを管理する権限と責任を有する必要があります。
* 監査費用：監査費用は、監査チームの規模や構成を決定する上で主要な要素とすべきではありません。監査の質と有効性を損なう可能性があるためです。監査チームは、監査目的、範囲、基準に従って監査を実施し、正確で信頼性の高い監査結果と勧告を提供するために十分なリソースと時間を確保する必要があります。
* 監査対象者が希望する期間：監査期間は、監査の目的、範囲、基準、そして監査対象者の都合や都合ではなく、監査対象者の都合と協力に基づいて決定されるべきです。監査チームは、監査を徹底的に実施するために十分な時間を確保する必要があります。
* 体系的な方法で、十分かつ関連性のある監査証拠を収集し、評価する。
参考文献:
* ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
* PECB候補者ハンドブック ISO 27001主任審査員、19～20ページ