情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問37

内部監査の要求事項【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「内部監査」「監査プログラム」「監査員」などのキーワードに注目する。
2. JIS Q 27001（ISO/IEC 27001）の内部監査に関する基本要求を思い出す：計画性、独立性・客観性、監査の範囲・頻度の決定、監査結果の記録とフォローアップ。
3. 各選択肢を規格要求に照らして当てはめる。過去結果を監査プログラムで考慮することは規格で要求されている点と一致する。
4. 他の選択肢（外部認定研修の必須化、代表取締役の任命、範囲の限定）は規格上の必須要件ではないため除外する。

選択肢別の誤答解説

• ア: 監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。
  → 誤り。規格は監査員の「能力（competence）」を要求しますが、外部の認証機関が特定の研修の修了を必須とするといった規定はありません。組織は必要な知識・技能（例：監査手法、対象業務の理解）を満たす手段を選べます。
• イ: 監査責任者は代表取締役が任命しなければならない。
  → 誤り。規格は監査責任者の任命プロセスを組織が定めることを求めますが、必ず代表取締役でなければならないとは規定していません。組織の規模や体制に応じて適切な責任者を決めればよいです。
• ウ: 監査範囲はJIS Q 27001に規定された管理策に限定しなければならない。
  → 誤り。監査範囲は組織のISMSのスコープ（業務、拠点、資産など）に基づいて決められます。管理策（security controls）は監査対象になり得ますが、範囲が管理策に限定されるわけではありません（プロセスや運用、適合性の有無なども含む）。
• エ: 監査プログラムには前回までの監査結果を考慮しなければならない。
  → 正しい。過去の監査結果はリスクの高い分野や再発防止の確認に有用であり、規格でも監査計画に反映することが求められています。

よくある誤解

• 内部監査員は必ず外部資格が必要：いいえ。必要なのは「適切な能力」です。社内研修やOJT、外部セミナーで能力を証明すればよいケースが多いです。
• 監査は「チェックリストに従うだけ」：チェックリストは有用ですが、過去の結果やリスクを踏まえた重点監査、フォローアップ（是正処置の確認）が重要です。
• 監査範囲は管理策だけ：監査はプロセスや手続き、記録、運用の有効性まで含みます。

補足コラム

• 監査プログラム作成時に、前回の指摘事項や是正処置の進捗、重大なインシデントの発生状況を一覧にして優先度を付けます。例えば、以前アクセス権の不適切設定が指摘された部署は再監査の優先度を上げ、改善が定着しているかを確認します。
• 監査員は「監査対象業務に対して独立かつ客観的であること」が求められるため、自部署の業務は原則自分で監査しない運用にします。小規模組織では社外の支援を受けることも現実的な選択肢です。
• 監査結果は記録し、是正処置と期限を明確にしてフォローアップします。これが継続的改善（PDCA）に直結します。

FAQ