Try and practice the latest PECB : ISO-IEC-27001-Lead-Auditor日本語 real questions & answers

シナリオ7：ローシーは、ニュージャージー州とニューヨーク市にオフィスを構える大手法律事務所です。50名以上の弁護士が、企業法務、商法、知的財産、銀行業務、金融サービスなど、幅広い分野で高度な法的サービスを顧客に提供しています。同社は、情報セキュリティのベストプラクティスを実践し、技術開発の最新動向を常に把握することで、市場において確固たる地位を築いていると確信しています。
Lawsyは、ISMS(情報セキュリティマネジメントシステム)の導入、評価、内部監査を、2年間にわたり厳密に実施してきた。
現在、彼らは知名度が高く信頼できる認証機関であるISMAにISO/IEC 27001認証の申請を行っている。
第1段階の監査では、監査チームは導入期間中に作成されたすべてのISMS文書をレビューした。
彼らはまた、経営陣によるレビューや内部監査の記録を精査し、評価した。
Lawsy社は、不適合に対する是正措置が必要に応じて実施されたことを示す証拠記録を提出したため、監査チームは内部監査担当者にインタビューを実施した。インタビューでは、内部監査計画と手順に関する詳細な情報が得られ、内部監査の適切性と頻度が検証された。
監査チームは、情報セキュリティポリシーやリスク評価基準などの戦略文書の検証を継続した。情報セキュリティポリシーのレビュー中に、チームは、ガバナンスフレームワーク(すなわち情報セキュリティポリシー)を説明する文書化された情報と手順との間に矛盾があることに気づいた。
従業員は職場外にノートパソコンを持ち出すことが許可されていたものの、Lawsy社にはそのような場合のノートパソコンの使用に関する手順が定められていなかった。社内規定にはノートパソコンの使用に関する一般的な情報しか記載されていなかった。同社は、ノートパソコンに保存されている情報の機密性と完全性を保護するために、従業員の常識に頼っていた。この問題は、第1段階監査報告書に記載されている。
第1段階の監査が完了すると、監査チームリーダーは監査計画書を作成した。この計画書には、監査の目的、範囲、基準、および手順が記載されている。
第2段階の監査において、監査チームは情報セキュリティポリシーを作成した情報セキュリティマネージャーにインタビューを行った。彼は、第1段階で指摘された問題点について、Lawsy社が3ヶ月ごとに情報セキュリティに関する必須の研修と啓発セッションを実施していると述べて正当化した。
面接後、監査チームは従業員研修記録50件のうち15件を調査し、Lawsy社が研修および意識向上に関するISO/IEC 27001の要件を満たしていると結論付けた。この結論を裏付けるため、調査対象となった従業員研修記録のコピーを作成した。
上記のシナリオに基づいて、次の質問に答えてください。
監査人は、監査完了後に従業員研修記録のコピーを保管すべきでしょうか？シナリオ7を参照してください。

• A. はい、監査契約書に記載されているとおり、ファイルのコピーは監査人が保管しています。
• B. いいえ、ファイルのコピーは一般的に監査記録として保管されません。
• C. はい、監査中に作成されたすべての文書情報は監査記録として保管する必要があります。

あなたは、医療サービスを提供するABCという名の高齢者向け介護施設でISMS監査を実施しています。
監査計画の次のステップは、ABC社のヘルスケアモバイルアプリの開発、サポート、ライフサイクルプロセスにおける情報セキュリティを検証することです。監査中に、組織がモバイルアプリ開発をCMMIレベル5、ITSM(ISO)の認証を受けた専門ソフトウェア開発会社にアウトソーシングしていることがわかりました。
/IEC
20000-1)、BCMS(ISO 22301)、ISMS(ISO/IEC 27001)の認証を取得済み。ITマネージャーはソフトウェアセキュリティ管理手順について説明し、そのプロセスを以下のように要約した。
モバイルアプリの開発においては、最低限、「設計段階からのセキュリティ」および「デフォルト設定からのセキュリティ」の原則を採用しなければならない。個人データ保護のための以下のセキュリティ機能が利用可能でなければならない。
アクセス制御。
個人データの暗号化、すなわち、高度暗号化標準(AES)アルゴリズム、鍵長：256ビット。および個人データの匿名化。
脆弱性チェック済み、セキュリティバックドアなし
最新のモバイルアプリテストレポートをサンプルとしてご覧ください。詳細は以下のとおりです。

あなたはITマネージャーに対し、個人データの暗号化と匿名化のテストが失敗したにもかかわらず、なぜ組織が依然としてモバイルアプリを使用しているのかを尋ねます。また、サービスマネージャーがテストを承認する権限を持っているかどうかも尋ねます。
ITマネージャーは、ソフトウェアセキュリティ管理手順に従ってテスト結果を承認する必要があると説明しました。暗号化および匿名化機能が失敗した理由は、これらの機能がシステムとサービスのパフォーマンスを著しく低下させたためです。
これに対応するには、通常の150%のリソースが必要です。サービスマネージャーは、アクセス制御は十分かつ許容範囲内であると判断しました。そのため、サービスマネージャーは承認書に署名しました。
医療スタッフの1人のモバイルをサンプリングしたところ、ABCのヘルスケアモバイルアプリのバージョンが
バージョン1.01がインストールされています。バージョン1.01にはテスト記録がないことがわかりました。
ITマネージャーの説明によると、ランサムウェア攻撃が頻繁に発生しているため、外部委託先のモバイルアプリ開発会社がテスト済みのソフトウェアに無償でマイナーアップデートを提供し、アップデートされたソフトウェアを緊急リリースした上で、セキュリティ機能に影響はないと口頭で保証したとのことです。20年にわたる情報セキュリティの経験から、再テストは不要だと判断しています。
監査結果を準備しています。正しい選択肢を2つ選んでください。

• A. 改善の余地がある(OI)。組織は、提供する無償サービスの範囲に基づいて外部サービスプロバイダーを選定する。(条項8.1、管理A.5.21に関連)
• B. 改善の余地があります(OI)。ITマネージャーは、適切なテストに基づいてサービスを継続するかどうかを決定する必要があります。(条項8.1、管理策A.8.30に関連)
• C. 不適合(NC)があります。ITマネージャーがソフトウェアセキュリティ管理手順を遵守していません。(条項8.1、管理A.8.30に関連)
• D. 不適合(NC)は一切ありません。ITマネージャーは十分な能力を有していることを証明しました。(条項7.2に関連)
• E. 不適合(NC)が発生しています。組織は計画された変更を管理しておらず、意図しない変更の結果を検討していません。(条項8.1に関連)
• F. 不適合(NC)はありません。ITマネージャーは優れたリーダーシップを発揮しています。(条項に関連)
  5.1、コントロール5.4)

あなたは、高齢者向け介護施設ABCヘルスケアサービスでISO 27001 ISMS監視監査を実施しています。ABCは、入居者の健康状態を監視するために、サプライヤーであるWeCareが設計・保守するヘルスケアモバイルアプリを使用しています。監査中に、入居者の家族の90%が、WeCareから週に1回、メールとSMSで医療機器の広告を定期的に受け取っていることが判明しました。ABCとWeCareのサービス契約では、サプライヤーが入居者の個人データを使用することを禁じています。ABCは、入居者とその家族から多くの苦情を受けています。
サービスマネージャーによると、これらの苦情は情報セキュリティインシデントとして調査され、正当な苦情であることが判明したとのことです。
不適合および是正措置管理手順に従って、是正措置が計画され、実施されました。
あなたは「ABC社は、入居者とその家族の個人データに関する情報セキュリティ管理A.5.34(プライバシーと個人情報の保護)を遵守していませんでした。サプライヤーであるWeCare社は、入居者の個人情報を使用して家族に広告を送信しました。」という不適合を記述します。この不適合に対してABC社が行うと予想される修正および是正措置を、記載されている選択肢の中から3つ選択してください。
* ABCは、サイバー犯罪に対する保護の観点から、ABCヘルスケアのモバイルアプリをテストするために、ISMSコンサルタントに依頼した。

• A. ABCはWeCareとのサービス契約を解除します。
• B. ABCは、第三者に関わるすべての適用法令および契約上の要件の遵守状況を定期的に監視します。
• C. ABCは契約違反でWeCareに対して法的措置を取る。
• D. ABCは、情報セキュリティ管理A.5.34が適用範囲宣言書(SoA)に含まれていることを確認します。
• E. ABCはABCヘルスケアモバイルアプリの使用を中止します。
• F. ABCは、情報セキュリティプロトコルを維持することの重要性について、全従業員に研修を実施しています。
• G. ABCは、すべてのサプライヤーに対して情報セキュリティのパフォーマンスに関するバックグラウンドチェックを導入します。

あなたは経験豊富な監査チームリーダーであり、研修中の監査担当者を指導しています。
あなたのチームは現在、外部クライアントのためにデータを保管する組織に対する第三者監視監査を実施しています。研修中の監査担当者は、適用範囲記述書(SoA)に記載され、当該サイトで実施されている人事管理策をレビューする任務を負っています。
研修中の監査担当者がレビューすると予想される管理項目を、以下の項目から4つ選択してください。

• A. リモートワーク体制
• B. 組織の情報削除に関する取り決め
• C. 職員の身元確認の実施
• D. 機密保持契約および秘密保持契約
• E. 敷地内のCCTVおよびドア制御システムの運用
• F. マルウェア対策はどのように実施されているか
• G. 情報セキュリティに関する意識向上、教育、トレーニング
• H. 組織の事業継続計画

シナリオ7：ローシーは、ニュージャージー州とニューヨーク市にオフィスを構える大手法律事務所です。50名以上の弁護士が、企業法務、商法、知的財産、銀行業務、金融サービスなど、幅広い分野で高度な法的サービスを顧客に提供しています。同社は、情報セキュリティのベストプラクティスを実践し、技術開発の最新動向を常に把握することで、市場において確固たる地位を築いていると確信しています。
Lawsyは、ISMS(情報セキュリティマネジメントシステム)の導入、評価、内部監査を、2年間にわたり厳密に実施してきた。
現在、彼らは知名度が高く信頼できる認証機関であるISMAにISO/IEC 27001認証の申請を行っている。
第1段階の監査では、監査チームは導入期間中に作成されたすべてのISMS文書をレビューした。
彼らはまた、経営陣によるレビューや内部監査の記録を精査し、評価した。
Lawsy社は、不適合に対する是正措置が必要に応じて実施されたことを示す証拠記録を提出したため、監査チームは内部監査担当者にインタビューを実施した。インタビューでは、内部監査計画と手順に関する詳細な情報が得られ、内部監査の適切性と頻度が検証された。
監査チームは、情報セキュリティポリシーやリスク評価基準などの戦略文書の検証を継続した。情報セキュリティポリシーのレビュー中に、チームは、ガバナンスフレームワーク(すなわち情報セキュリティポリシー)を説明する文書化された情報と手順との間に矛盾があることに気づいた。
従業員は職場外にノートパソコンを持ち出すことが許可されていたものの、Lawsy社にはそのような場合のノートパソコンの使用に関する手順が定められていなかった。社内規定にはノートパソコンの使用に関する一般的な情報しか記載されていなかった。同社は、ノートパソコンに保存されている情報の機密性と完全性を保護するために、従業員の常識に頼っていた。この問題は、第1段階監査報告書に記載されている。
第1段階の監査が完了すると、監査チームリーダーは監査計画書を作成した。この計画書には、監査の目的、範囲、基準、および手順が記載されている。
第2段階の監査において、監査チームは情報セキュリティポリシーを作成した情報セキュリティマネージャーにインタビューを行った。彼は、第1段階で指摘された問題点について、Lawsy社が3ヶ月ごとに情報セキュリティに関する必須の研修と啓発セッションを実施していると述べて正当化した。
面接後、監査チームは従業員研修記録50件のうち15件を調査し、Lawsy社が研修および意識向上に関するISO/IEC 27001の要件を満たしていると結論付けた。この結論を裏付けるため、調査対象となった従業員研修記録のコピーを作成した。
上記のシナリオに基づいて、次の質問に答えてください。
Lawsyには職場外でのノートパソコンの使用に関する手順がなく、ノートパソコンに保存されている情報の機密性を保護するために従業員の常識に頼っている。これは以下の問題を引き起こす。

• A. 不適合
• B. 適合性
• C. 異常