情報セキュリティマネジメント 2018年 春期 午前（科目A） 問38

ISMS内部監査要件【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワード「内部監査」「要求事項」を確認する。規格（JIS Q 27001）の内部監査に関する条文（ISOの clause 9.2 に相当）が基準。
2. 規格の内部監査が何を要求するかを思い出す：監査人の独立性、監査プログラム、監査結果の記録、改善（是正処置）への繋ぎなど。
3. 各選択肢を規格の要求と照らし合わせる：
   • 規格は「前回監査の結果を考慮する」と明記している → 適合（エ）。
   • 他の選択肢は規格で「必須」とはされていないので不適合（以下で詳細）。

選択肢別の誤答解説

• ア: 監査員にはISMS認証機関が認定する研修の修了者を含まなければならない。
  → 誤り。規格は監査員が能力（competence）を持つことや適切な知識を有することを求めますが、「認証機関が認定する研修の修了者でなければならない」といった特定の研修や認定を必須とはしていません。組織が監査員の適性を判断し、必要な教育訓練を行うことが求められます。
• イ: 監査責任者は代表取締役が任命しなければならない。
  → 誤り。規格は「誰が任命するか」を特定の役職に限定しません。組織の体制に応じて責任者を明確にすればよく、必ず代表取締役である必要はありません。実務では経営層や情報セキュリティ担当が監査計画の承認を受ける形を取ることが多いですが、規格上の必須条件ではありません。
• ウ: 監査範囲はJIS Q27001に規定された管理策に限定しなければならない。
  → 誤り。内部監査の範囲は組織が定めるISMSの適用範囲（scope）と関連プロセスに基づきます。管理策（コントロール）だけに限定する必要はなく、方針、リスクアセスメント、運用プロセス、是正処置などISMS全体を対象にできます。
• エ: 監査プログラムは前回までの監査結果を考慮しなければならない。
  → 正しい。規格は監査プログラム作成時に過去の監査結果を考慮することを明確に求めています。したがって監査で見つかった不備や改善点を踏まえ、次回の監査で重点的に確認するなど計画に反映することが必要です。

よくある誤解

• 「監査員は必ず外部の資格保持者でなければならない」
  → 実務では外部監査員が使われることもありますが、規格上は社内で能力を持った者（独立性が確保されることが重要）であれば問題ありません。資格は有利だが必須ではありません。
• 「監査プログラムは毎回同じ項目を同じ頻度でやるべき」
  → 誤り。前回の結果や重要度に応じて頻度や重点を変えるのが規格の趣旨です。柔軟に改善につなげることが目的です。

補足コラム

• 過去の監査報告書を一覧化し、頻繁に問題が出ている項目を抽出します（例：アクセス権管理に毎回指摘がある）。
• 重要度や影響度が高い業務（顧客データを扱う部署など）には高頻度の監査やフォローアップ監査を設定します。
• 監査員は監査対象と利害関係がないこと（独立性）を確保するため、可能なら別部署の人や外部を起用します。
• 監査結果は是正処置につなげ、次回のプログラムで追跡確認することをルール化します（フォローアップの明確化）。

• ISO/IEC 27001 の内部監査に関する規定は clause 9.2 に相当し、「監査プログラムは前回の監査結果を考慮すること」が記載されています。

FAQ