情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問37

監査報告の指摘事項【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 監査で「指摘（不適合）」になる条件を確認する。→ 規格（JIS Q 27001:2014）が要求する手順や文書化された基準に従っていない、または要求事項を満たしていない場合が不適合。
2. 各選択肢を「実務的に問題があるか」「規格に反しているか」で評価する。
3. 実務的に正しく運用されているもの（手順通り、報告済み、検知→駆除が行われている）は指摘にならない。基準や手続きの順序・欠落など規格上の要件違反があるものを指摘と判断する。
4. 上記に照らして、順序を誤っている エ を不適合と判断する。

選択肢別の誤答解説

• ア: USBメモリの使用を定められた手順に従って許可していた。
  → 手順通り運用されている証拠です。監査では「順守されている」旨を記載できますが、指摘（不適合）ではありません。必要なら観察事項として良好点を書くことはあります。
• イ: 個人情報の誤廃棄事故を主務官庁などに規定のとおり報告していた。
  → 法令や社内規程どおりに報告されているため、是正が完了している事例です。これも不適合ではなく、適切な対応例として報告可能です。
• ウ: マルウェアスキャンでスパイウェアが検知され、駆除されていた。
  → 検知・駆除が行われていることは管理策が機能している証拠です。もちろん、根本原因（侵入経路や未適切な設定）が未対応なら指摘の対象になりますが、問題文では駆除が行われているため単独では不適合になりません。
• エ: リスクアセスメントを実施した後に、リスク受容基準を決めた。
  → リスク受容基準は評価時に使う判断基準です。事後に基準を決めると、評価結果の妥当性が担保できません。規格の要求する手順に反するため監査人は不適合として記載すべきです。

よくある誤解

1. 「検知→駆除があれば必ず不適合ではない」
   → 検知・駆除が行われていれば管理策は機能していますが、繰り返し発生していたり、原因が未究明なら不適合や改善勧告になります。単純な発生が即不適合ではありません。
2. 「監査はミス探しだけだ」
   → 監査は不適合を見つけるだけでなく、改善点や良好な運用も報告します。目的は継続的改善です。
3. 「文書があればよい」
   → 文書化は重要ですが、文書どおりに運用され、かつ一貫性があることが重要です。順序や内容が規格に適合しているかも見ます。

補足コラム

• なぜ順序が重要か（現場イメージ）
  リスク受容基準は「会社としてどのくらいのリスクなら放置するか」を示すものです。例えば「顧客情報漏えいで重大損害が想定される場合は受容しない」と決めておけば、発見されたリスクに即座に対処方針が決められます。基準が後からでは、評価者ごとに判断がばらつき、結果として矛盾した処置が行われる恐れがあります。人事や総務が関わる実務でも、基準が明確なら対応の優先順位が速く決まり、現場の混乱が減ります。
• 監査報告書の書き方（簡単な例）
  「不適合：リスクアセスメントが組織で合意したリスク受容基準に基づいて実施されていない（実施順序が逆であった）。是正措置：受容基準の文書化及びアセスメントの再実施を要求。」
• 改善の進め方
  1. 経営層と協議して受容基準を決定・文書化する。
  2. 既存のリスクアセスメントを基準に照らして再評価する。
  3. リスク処理計画を更新し、必要な対策を実行・記録する。

FAQ