Explanation:
情報源を特定する
適切なサンプリングによって収集する
レビュー中
監査証拠
監査基準に照らした評価
監査結果
監査結論
レビューのステップでは、収集された情報の正確性、完全性、関連性を確認します。
監査証拠のステップでは、情報を検証可能かつ追跡可能な方法で文書化します。監査基準に照らした評価のステップでは、監査証拠をISOの要求事項と比較します。
27001規格と組織独自のポリシーおよび目標に基づきます。監査結果のステップでは、ISMSにおける不適合、弱点、改善の機会を特定します。監査結論のステップでは、監査結果を要約し、是正措置または改善のための推奨事項を提示します。

ジャックは、ソフトウェアライセンスの購入請求書数とソフトウェア在庫数を比較することで不適合を特定した際に、数学的証拠を収集しました。この種の証拠には、不一致を浮き彫りにし、コンプライアンスまたは不適合の判定を裏付ける数値的で定量化可能なデータが含まれます。

説明
マネジメントシステム監査のガイドラインであるISO 19011:2018によれば、サンプリング計画とは、定義された母集団から監査証拠の代表的なサブセットを選択する方法です1。サンプリング計画には、監査においていくつかの利点があります。例えば、主要なプロセス、活動、および管理策を網羅することでISMSを適切に理解できること、時間とリソースの使用を最適化することで監査計画を効率的に実施できること、そしてサンプルが十分で信頼性が高く、偏りがないことを保証することで監査結果に信頼性があることなどです1。したがって、これら3つの選択肢は、監査にサンプリング計画を使用する利点の例です。その他の選択肢は利点ではなく、サンプリング計画を使用する際の欠点またはリスクです。例えば、監査人の直感を無視すると、サンプリング計画でカバーされていない重要な証拠や問題を見逃す可能性があります。同じ計画を連続して監査に使用すると、監査結果の有効性と妥当性が低下する可能性があります。また、不十分または不適切なサンプリング計画が原因で重要な問題が見逃される可能性があります1。参考文献: ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン

説明
このオプションは、ISMS12を含むマネジメントシステムの監査に関するガイドラインを提供するISO 19011規格の要件であるため、最終会議の議題に含めるのに適しています。この規格では、監査チームリーダーは、監査範囲、アクセス、サンプリングの制限など、監査中に遭遇した、監査結論の信頼性を低下させる可能性のある状況について、被監査者に報告する必要があると規定されています3。また、監査報告書には、監査は監査時に入手可能な情報のサンプルに基づいており、監査は被監査マネジメントシステムの適合性または有効性について絶対的な保証を提供するものではないという記述を含める必要があると規定されています4。したがって、監査チームリーダーは、監査の性質と限界を被監査者に伝え、誤解や誤った期待を避けるため、最終会議の議題に免責事項を含める必要があります。その他の選択肢は、関連性がない、不正確である、または不完全であるため、最終会議の議題に含めるのは適切ではありません。
例えば：
*認証機関の苦情処理プロセスの詳細な説明は、監査の所見や結論とは関係がないため、最終会議の議題には含まれません。認証機関の苦情処理プロセスは、監査契約書または監査契約の一部として、監査前に被監査者に通知されるべきです5。
*監査計画とその目的の説明は、監査開始会議または監査前に行うべきであり、閉会会議の議題には適切ではありません。監査計画とは、監査の範囲、目的、基準、方法論に加え、監査スケジュール、監査チーム、監査場所、監査成果物について記載した文書です。監査計画は、監査対象者に事前に伝達し、合意を得る必要があります。また、変更や逸脱があれば、監査中に通知する必要があります。
*不適合に関連する監査対象者の氏名だけでは、不適合の詳細や証拠が示されないため、最終会議の議題には不完全です。監査チームリーダーは、各不適合の説明、監査基準、監査証拠を含む監査所見、ならびに監査結論と監査勧告を提示する必要があります。また、監査チームリーダーは、個人の名前を挙げたり非難したりすることを避け、プロセスとシステムに焦点を当てるべきです。
参考文献: = 1: PECB候補者ハンドブック - ISO/IEC 27001主任審査員、222ページ: ISO 19011:2018 マネジメントシステム監査のガイドライン、第13項: ISO 19011:2018 マネジメントシステム監査のガイドライン、第6.4.94項: ISO 19011:2018 マネジメントシステム監査のガイドライン、第7.5.25項: ISO/IEC
17021-1:2015 適合性評価 - マネジメントシステムの監査及び認証を行う機関に対する要求事項 - パート 1: 要求事項、9.8 項。 : ISO 19011:2018 マネジメントシステムの監査のためのガイドライン、6.4.1 項。 : ISO/IEC 27007:2011 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム監査のためのガイドライン、6.2.1 項。 : ISO 19011:2018 マネジメントシステムの監査のためのガイドライン、6.4.2 項。 : ISO 19011:2018 マネジメントシステムの監査のためのガイドライン、6.4.10 項。 : ISO/IEC 27007:2011 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム監査のためのガイドライン、6.3.3 項。

Explanation:

8.1 ユーザーのエンドポイントデバイスに保存され、処理され、またはアクセスされる情報は保護されなければならない。
= 技術的管理 7.8 機器は安全な場所に設置し、保護しなければならない = 物理的管理 5.2 情報セキュリティの役割と責任は、組織のニーズに応じて定義および割り当てられなければならない = 組織的管理 6.7 組織の敷地外で処理、加工、または保管されている情報を保護するために、従業員がリモートで作業している場合はセキュリティ対策を実施しなければならない = 人的管理 説明: 私の定義済みツールの Web 検索結果によると、ISO 27001:2022 では、附属書 A の管理策が組織的、人的、物理的、および技術的の 4 つのカテゴリに再構成および統合されています12。これらのカテゴリは、情報セキュリティのさまざまな側面と次元を反映しており、識別、保護、検出、対応、および回復というサイバーセキュリティの概念と一致しています3。各カテゴリの管理策は次のとおりです4。
* 組織的統制：組織内の情報セキュリティ活動のガバナンス、管理、調整に関連する統制です。情報セキュリティポリシー、役割と責任、リスク評価と対応、パフォーマンス評価、改善などの統制が含まれます。
* 人的管理：組織内外を問わず、情報セキュリティに関わる人々の行動、意識、能力に関連する管理です。人的セキュリティ、トレーニングと意識向上、アクセス制御、インシデント管理、事業継続性といった管理が含まれます。
* 物理的管理：情報の保存、処理、または伝送を行う物理的な資産および環境の保護に関連する管理です。これには、物理​​的セキュリティ、環境セキュリティ、機器セキュリティ、メディアセキュリティなどの管理が含まれます。
* 技術的管理：情報セキュリティの実装、監視、維持のための技術の利用に関連する管理です。暗号化、ネットワークセキュリティ、システムセキュリティ、アプリケーションセキュリティ、脅威インテリジェンスなどの管理が含まれます。
これらのカテゴリに基づいて、質問にリストされているコントロールは次のように一致させることができます。
* 8.1 ユーザーのエンドポイント デバイスに保存される、またはデバイスによって処理される、またはデバイスを介してアクセスできる情報は保護される必要があります。これは、ラップトップ、スマートフォン、タブレットなどのデバイス上の情報を保護するためのテクノロジの使用を伴うため、技術的な制御です。暗号化、認証、ウイルス対策、ファイアウォールなどの対策が含まれる場合があります。
* 7.8 機器は安全に設置され、保護されなければならない：これは物理的な管理であり、情報の保存、処理、または伝送を行う物理的な資産および環境の保護を伴う。これには、施錠、警報装置、CCTV、消火装置などの対策が含まれる場合がある。
* 5.2 情報セキュリティの役割と責任は、組織のニーズに応じて定義および割り当てられなければならない。これは組織的な管理であり、組織内の情報セキュリティ活動のガバナンス、管理、および調整に関わるものである。これには、情報セキュリティ担当者の権限と説明責任の定義、報告ラインと連絡チャネルの確立、タスクと義務の割り当てなどの措置が含まれる場合がある。
* 6.7 従業員がリモートワークを行う場合、組織の敷地外で処理、加工、または保管される情報を保護するためのセキュリティ対策を実施しなければならない。これは人的管理であり、組織内外の情報セキュリティに関わる人々の行動、意識、および能力に関係する。これには、リモートワークに関するガイダンスやトレーニングの提供、ポリシーと手順の施行、リモート活動の監視と監査などの対策が含まれる場合がある。
参照: = 1: ISO 27001:2022 附属書 A 管理策の詳細 - BARR アドバイザリ42: ISO 27001:2022 附属書 A 管理策 - 最新情報 | ISMS.Online13: ISO 27001:2022 にはいくつの管理策がありますか? - Strike Graph34: ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、附属書 A。