Try and practice the latest PECB : ISO-IEC-27001-Lead-Auditor日本語 real questions & answers

シナリオ6：Sinvestmentは、住宅保険、商業保険、生命保険を提供する保険会社です。同社はノースカロライナ州で設立されましたが、近年、ヨーロッパやアフリカを含む他の地域にも事業を拡大しています。
Sinvestmentは、業界に適用される法令を遵守し、情報セキュリティインシデントの発生を防止することに尽力しています。同社はISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入し、ISO/IEC 27001認証の取得を申請しています。
認証機関は2名の監査員を任命し、監査を実施させた。監査員はSinvestment社と機密保持契約を締結した後、監査活動を開始した。まず、ISMSの適用範囲宣言書、情報セキュリティポリシー、内部監査報告書など、規格で要求される文書を精査した。Sinvestment社は文書化手順を定めていると述べていたものの、すべての文書が同じ形式ではなかったため、精査は容易ではなかった。
その後、監査チームはSinvestmentの経営陣に対し、ISMS導入における彼らの役割を理解するため、複数回のインタビューを実施した。第1段階監査の活動はすべてリモートで実施されたが、文書情報のレビューはSinvestmentの要請により現地で行われた。
この段階で、監査担当者は情報セキュリティ研修および啓発プログラムに関する文書が存在しないことを発見しました。質問に対し、Sinvestmentの担当者は、全従業員に情報セキュリティ研修を実施済みであると回答しました。第1段階の監査により、監査チームはSinvestmentの業務内容とISMSの概要を把握することができました。
第2段階監査は、第1段階監査の3週間後に実施されました。監査チームは、マーケティング部門(監査範囲外)において、従業員のアクセス権限を管理するための手順が整備されていないことを確認しました。従業員のアクセス権限の管理はISO/IEC 27001の要求事項の一つであり、同社の情報セキュリティポリシーにも含まれていたため、この問題は監査報告書に記載されました。さらに、第2段階監査において、監査チームはSinvestment社がユーザーアクティビティのログを記録していないことも確認しました。
同社の手順書には「ユーザー活動を記録し、定期的に確認するログを保持すること」と記載されていたが、同社はそのような手順が実施されていることを示す証拠を一切提示しなかった。
監査活動全体を通して、監査員は観察、インタビュー、文書情報のレビュー、分析、および技術検証を用いて情報と証拠を収集しました。第1段階と第2段階におけるすべての監査結果が分析され、監査チームは認証に関する肯定的な勧告を行うことを決定しました。
第1段階の監査において、監査チームはSinvestmentが情報セキュリティ研修および意識向上に関する記録を保有していないことを発見しました。この場合、Sinvestmentはどのような対応を取るべきでしょうか？シナリオ6を参照してください。

• A. 特定された問題点を文書化し、認証監査完了後に修正する。
• B. 新たなリスク評価プロセスを実施し、問題の修正が必要かどうかを理解する。
• C. ステージ2監査の前に、特定された問題を修正してください。

シナリオ2：
1990年代に設立されたClinicは、心臓関連疾患の治療や複雑な外科手術を専門とする医療機器メーカーです。ヨーロッパに拠点を置き、患者と医療従事者の両方にサービスを提供しています。Clinicは、治療の個別化、治療結果のモニタリング、機器機能の向上を目的として患者データを収集しています。データセキュリティを強化し、信頼を築くため、ClinicはISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入しています。この取り組みは、機密性の高い患者情報と独自の技術を安全に管理するというClinicの強い決意を示すものです。
当クリニックは、内部の問題、インターフェース、内部活動と外部委託活動間の依存関係、および利害関係者の期待のみを考慮して、ISMSの適用範囲を定めました。この適用範囲は綿密に文書化され、誰でも閲覧できるようにしました。ISMSを定義するにあたり、当クリニックは、研究開発、患者データ管理、顧客サポートといった重要な部門内の主要プロセスに特に焦点を当てることを選択しました。
当初は困難に直面したものの、クリニックはISMSの導入に尽力し、独自のニーズに合わせてセキュリティ管理策を策定しました。プロジェクトチームは、ISO/IEC 27001の附属書Aに記載されている特定の管理策を除外する一方で、セキュリティを強化するために業界固有の管理策を追加しました。チームは、これらの管理策の適用可能性を内部および外部の要因に基づいて評価し、最終的に、管理策の選択と導入の根拠を詳細に記した包括的な適用性宣言書(SoA)を作成しました。
認証取得に向けた準備が進むにつれ、チームリーダーに任命されたブライアンは、自主的なリスク評価手法を採用し、会社の戦略的課題とセキュリティ対策を特定・評価した。この積極的なアプローチにより、クリニックのリスク評価は、その目標と使命に沿ったものとなった。
質問：
シナリオ2に基づき、クリニックはISMSの対象を主要なプロセスと部門のみに限定することを決定しました。これは許容範囲内でしょうか？

• A. いいえ、クリニックは、ISMSにとっての重要性や関連性に関わらず、すべてのプロセスと部門を対象範囲に含める必要があります。
• B. はい、ただし他のプロセスや部門を除外する決定には正当な理由が必要です。
• C. はい、組織はISMSの適用範囲を限定することはできますが、ISMSの適用範囲にすべてのプロセスと部門が含まれていない場合は、認証監査を要求することはできません。

あなたは、医療サービスを提供する高齢者向け介護施設でISMS監査を実施しています。監査計画の次のステップは、事業継続管理プロセスの情報セキュリティを検証することです。監査中に、組織が最近のパンデミックの間、介護サービスを継続するために事業継続計画(BCP)の1つを発動したことがわかりました。あなたはサービスマネージャーに、組織が事業継続管理プロセスにおいてどのように情報セキュリティを管理しているかを説明するよう依頼しました。
サービスマネージャーは、パンデミック発生時の看護サービス継続計画を発表し、そのプロセスを以下のように要約した。
新規入居者の受け入れを一切停止してください。
事務職員の70％、医療スタッフの30％が在宅勤務となる。
定期的な従業員による自己検査。これには、出勤の1日前に陰性検査結果報告書を提出することも含まれます。
ABCのヘルスケアモバイルアプリをインストールすれば、ユーザーの活動量を追跡し、その場で健康状態を確認できる緑色の健康状態QRコードを表示できます。
あなたはサービスマネージャーに、職員が在宅勤務をする際に、関係のない家族や関係者が居住者の個人データにアクセスできないようにするにはどうすればよいかを尋ねます。サービスマネージャーは答えることができず、ITセキュリティマネージャーに相談するよう提案します。
監査証拠をさらに収集するために、他の分野についても調査を進めたいと考えています。監査証跡に含まれない項目を3つ選択してください。

• A. 組織が事業リスク評価を実施し、既存の入居者を介護施設からどれだけ迅速に退所させることができるかを評価する方法について、より多くの証拠を収集する。(第6項に関連)
• B. 組織が全従業員に対して定期的に新型コロナウイルス検査を実施し、陽性反応が出ていることをどのように確認しているかについて、より多くの証拠を収集する(管理策A.7.2に関連)
• C. 在宅勤務時に従業員がマルウェア対策済みのIT機器のみを使用していることを示す証拠をさらに収集する(管理策A.8.7に関連)
• D. 組織がモバイルデバイスおよびテレワーク中の情報セキュリティをどのように管理しているかについて、より多くの証拠を収集する(管理策A.6.7に関連)
• E. 在宅勤務中の従業員を支援するために組織がどのようなリソースを提供しているかについて、より多くの証拠を収集する。(条項7.1に関連)
• F. 事業継続計画がどのように、いつテストされたかについて、より多くの証拠を収集する。(管理策A.5.29に関連)
• G. 追加のスタッフにインタビューを行い、在宅勤務の必要性を認識していることを確認することで、より多くの証拠を収集する(条項7.3に関連)。
• H. 情報セキュリティプロトコルが混乱時にどのように維持されているかについて、より多くの証拠を収集する(管理策A.5.29に関連)。

監査ライフサイクルは、ISO 19011規格に基づき、個別監査を実施するためのプロセスを記述したものです。監査ライフサイクルの各ステップをドラッグ＆ドロップして、正しい順序に並べ替えてください。

シナリオ9​​：ネットワーク企業であるUpNetは、ISO/IEC 27001の認証を取得しています。同社は、ネットワークセキュリティ、仮想化、クラウドコンピューティング、ネットワークハードウェア、ネットワーク管理ソフトウェア、およびネットワーク技術を提供しています。
ISO/IEC 27001認証取得以来、同社の認知度は飛躍的に向上した。この認証は、UpNefsの事業運営の成熟度と、広く認知され受け入れられている規格への準拠を証明するものである。
しかし、認証取得後もすべてが終わったわけではありませんでした。UpNetは、内部監査を実施することで、セキュリティ管理体制とISMS全体の有効性および効率性を継続的に見直し、強化しました。経営陣は専任の内部監査チームを雇用する意思がなかったため、内部監査機能を外部委託することにしました。この形式の内部監査により、独立性、客観性が確保され、ISMSの継続的な改善に関する助言的な役割を担うことができました。
最初の認証監査から間もなく、同社はデータおよびストレージ製品に特化した新部門を設立した。この部門では、データセンター向けに最適化されたルーターやスイッチ、ネットワーク仮想化やネットワークセキュリティ機器といったソフトウェアベースのネットワーク機器を提供した。これにより、ISMS認証の対象範囲に既に含まれている他の部門の業務にも変更が生じた。
そのため、UpNetはリスク評価プロセスと内部監査を開始しました。内部監査の結果、同社は既存および新規のプロセスと管理体制の有効性と効率性を確認しました。
経営陣は、新設された部門がISO/IEC 27001の要件を満たしていることから、認証対象に含めることを決定した。UpNetはISO/IEC 27001認証を取得したことを発表し、認証範囲は会社全体に及ぶとしている。
最初の認証監査から1年後、認証機関はUpNefsのISMS(情報セキュリティマネジメントシステム)に対する別の監査を実施した。
この監査は、UpNefsのISMSがISO/IEC 27001の規定要件を満たしているかを確認し、ISMSが継続的に改善されていることを確認することを目的としていました。監査チームは、認証済みのISMSが引き続き規格の要件を満たしていることを確認しました。しかしながら、新設された部署がマネジメントシステムの運営に大きな影響を与えました。さらに、認証機関にはこれらの変更について一切通知されていませんでした。そのため、UpNefsの認証は一時停止されました。
上記のシナリオに基づいて、次の質問に答えてください。
UpNetは、内部監査から独立性、客観性、および助言活動を確保しました。この措置は許容範囲内でしょうか？

• A. はい、内部監査には助言的な役割があるからです
• B. いいえ、内部監査機能は外部委託されているからです。
• C. いいえ、内部監査は監査対象活動から独立している必要があるからです。