ここで使用される監査手順は「分析」です。監査チームは、サーバーログを分析し、編集または削除が可能かどうかを検証しました。特に、ログの特性と操作に対する制御を評価し、ISO/IEC 27001の要件に準拠していることを確認することに重点を置きました。
参考文献: ISO 19011:2018、マネジメントシステムの監査に関するガイドライン

説明
是正処置とは、発生した、または発生する可能性のある不適合またはインシデントの根本原因を特定し、除去することで、再発または発生を防止するプロセスです。是正処置はISO 27001の改善要求事項の一部であり、修正および是正処置の特定、評価、実施、レビュー、文書化という標準的なワークフローに従います。参考資料：
ISO 27001 要求事項 10.1 の是正処置、不適合および是正処置の手順、PECB 候補者ハンドブック ISO 27001 主任審査員 (12 ページ)

チェックリストは、監査人が監査の目的と範囲に関連する情報を収集・検証するのに役立つツールです。チェックリストには、次のような利点があります。
* 関連する監査証跡の遵守の確保：チェックリストは、監査人が監査基準への適合性または不適合性を裏付ける証拠の出所を特定し、追跡するのに役立ちます。また、監査人が監査の重要な側面を見逃したり、見落としたりするのを防ぐのにも役立ちます。
* 監査計画の実施を確実にする: チェックリストは、監査人が監査計画に従い、それを遂行するのに役立ちます。
* 監査の目的、範囲、基準、スケジュール、役割、責任など、監査の計画と詳細を記述したもの。監査人が時間とリソースを効果的かつ効率的に管理するのにも役立ちます。
その他のオプションは、チェックリストを使用する利点ではありませんが、次のような利点があります。
* 毎回の監査で同じチェックリストをレビューなしで使用すること：これはチェックリスト使用のデメリットであり、硬直的で非効率的な監査アプローチにつながる可能性があります。チェックリストは、監査対象者や監査基準の状況、リスク、変更を考慮し、個々の監査に合わせてカスタマイズし、適応させる必要があります。また、チェックリストは、その妥当性と関連性を確保するために、定期的にレビューと更新を行う必要があります。
* インタビュー対象を特定の関係者に限定すること：これはチェックリスト使用のデメリットであり、監査の範囲と深度が制限される可能性があります。チェックリストは、監査人が監査にとって貴重な証拠や知見をもたらす可能性のある他の関連関係者や情報源へのインタビューを妨げるものではありません。チェックリストは、制約ではなく、ガイドとして利用されるべきです。
* 監査期間の短縮：これは、チェックリストを使用することによるメリットとは必ずしも言えません。監査対象者のISMSの複雑さ、規模、成熟度、証拠の入手可能性と質、監査人の能力と経験、監査人と監査対象者間の協力とコミュニケーションのレベルなど、様々な要因に依存するためです。チェックリストは、効率性と組織性を向上させることで監査期間の短縮に役立つ可能性がありますが、より多くの証拠や検証が必要となるため、監査期間が長くなる可能性もあります。
* 必要に応じてチェックリストの内容を変更しない：これはチェックリストを使用する際のデメリットであり、表面的または不完全な監査につながる可能性があります。チェックリストは、たとえチェックリストに記載されていない場合であっても、監査中に発生した問題や懸念事項の調査や検討を監査人が妨げるべきではありません。チェックリストは補助的なものであり、代替として用いるべきではありません。
参考文献:
* ISO/IEC 27001:2022 主任監査人（情報セキュリティ管理システム）の目標とコンテンツ（Quality.org および PECB より）
* ISO 19011:2018 マネジメントシステムの監査に関するガイドライン [セクション6.2.2]

説明
物理的な対策を講じないと、どのような脅威が発生する可能性がありますか? 物理的な対策を講じないと、過熱によるサーバーのシャットダウンが発生する可能性があります。物理的な対策とは、火災、洪水、地震、盗難、破壊行為などの物理的な脅威や危険から情報および情報処理施設を保護するアクションまたはデバイスです。物理的な対策には、錠前、警報器、フェンス、カメラ、消火器、換気システムなどが含まれます。物理的な対策を講じないと、情報および情報処理施設が環境による損傷や干渉にさらされ、可用性、整合性、または機密性が損なわれる可能性があります。たとえば、サーバー室に適切な冷却システムがない場合、サーバーが過熱して故障したり、完全に動作を停止したりして、データやサービスの損失につながる可能性があります。ISO/IEC 27001:2022 では、組織の情報および情報処理施設への不正な物理アクセス、損傷、干渉を防ぐために、物理的および環境的なセキュリティ管理策を実施することを要求しています (A.11 項を参照)。参考資料: [CQI および IRCA 認定 ISO/IEC 27001:2022 主任審査員トレーニングコース]、ISO/IEC 27001:2022 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件、[物理的セキュリティとは?]

Explanation:
「監査指摘事項とは、収集された監査証拠を監査基準に照らして評価した結果である。」監査指摘事項を説明するのに最適な語句は、「評価」と「証拠」です。ISO 19011:2022によれば、監査指摘事項とは、収集された監査証拠を監査基準に照らして評価した結果です12。その他の語句は、監査指摘事項の定義に関連しないか、文法的にこの文に当てはまりません。参考文献：1：ISO 19011:2022、マネジメントシステム監査のガイドライン、3.11項
\n2: PECB認定ISO/IEC 27001主任審査員試験準備ガイド、ドメイン5：ISO/IEC 27001監査の実施