情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度秋期 午前 問37: JIS Q 27001 に準拠して ISMS を運用している場合，内部監査について順守すべき要求事項はどれか。

問題本文

JIS Q 27001 に準拠して ISMS を運用している場合，内部監査について順守すべき要求事項はどれか。

選択肢

• ア.監査員には ISMS 認証機関が認定する研修の修了者を含まなければならない。
• イ.監査責任者は代表取締役が任命しなければならない。
• ウ.監査範囲は JIS Q 27001 に規定された管理策に限定しなければならない。
• エ.監査プログラムには前回までの監査結果を考慮しなければならない。

正解

エ. 監査プログラムには前回までの監査結果を考慮しなければならない。

解説

JIS Q 27001 は，ISMS の内部監査について，対象プロセスの重要性や前回までの監査結果を考慮して監査プログラムを計画・確立することを要求している。前回までの監査結果を考慮しなければならない（エ）が，この要求事項に合致する正しい記述である。

選択肢ごとの解説

• ア.監査員に認証機関認定の研修修了者を含めることは要求されておらず，客観性・公平性を確保できる監査員を選定すればよい。
• イ.監査責任者を代表取締役が任命しなければならないという規定はなく，そのような限定はされていない。
• ウ.監査範囲を管理策に限定する要求はなく，ISMS の要求事項全体への適合状況も監査対象に含まれる。
• エ.正しい。監査プログラムの計画では，プロセスの重要性とともに前回までの監査結果を考慮することが要求されている。