Try and practice the latest PECB : ISO-IEC-27001-Lead-Auditor日本語 real questions & answers

質問：
認証機関の複数のオフィスが関与する場合、何を確実にしなければならないか？

• A. 顧客との間で法的拘束力のある契約を締結しているのは本社のみです。
• B. 認証範囲内のすべてのサイトを対象とする、法的拘束力のある契約
• C. 各オフィスはクライアントと個別に法的拘束力のある契約を結んでいます

シナリオ4：ブランディングは、米国で最も有名な企業のいくつかと取引のあるマーケティング会社です。
社内コスト削減のため、Branding社はソフトウェア開発とITヘルプデスク業務を2年以上Techvology社にアウトソーシングしています。必要な専門知識を備えたTechvology社は、Branding社のソフトウェア、ネットワーク、ハードウェアに関するニーズを管理しています。Branding社は情報セキュリティマネジメントシステム(ISMS)を導入し、ISO/IEC 27001の認証を取得しており、高い情報セキュリティ基準を維持するというコミットメントを示しています。また、アウトソーシング先のTechvology社のセキュリティがISO/IEC 27001認証要件に準拠していることを確認するため、積極的に監査を実施しています。
前回の監査では、ブランディングの監査チームが監査対象プロセスと監査スケジュールを定義しました。特に、過去 1 年間に Techvology から報告された 2 件の情報セキュリティ インシデントを考慮して、証拠に基づくアプローチを採用しました。焦点は、これらのインシデントがどのように対処されたかを評価し、アウトソーシング契約の条件を遵守することを確保することでした。監査は、アウトソーシングされた業務の品質を監視する Techvology の方法を包括的にレビューすることから始まり、提供されたサービスがブランディングの期待と合意された基準を満たしているかどうかを評価しました。監査人はまた、Techvology が 2 つの組織間で確立された契約上の要件を遵守しているかどうかも確認しました。これには、情報セキュリティ対策を含むすべての側面が遵守されていることを保証するために、アウトソーシング契約の条件を徹底的に調査することが含まれていました。
さらに、今回の監査では、Techvologyがアウトソーシング業務やその他の組織を管理するために用いているガバナンスプロセスについて、厳密な評価が行われました。このステップは、ブランディング部門が、アウトソーシング契約に伴う潜在的なリスクを軽減するための適切な統制および監督メカニズムが整備されていることを確認する上で極めて重要です。
監査担当者は、Techvology社の様々なレベルの従業員にインタビューを実施し、インシデント解決記録を分析しました。さらに、Techvology社は、インシデント管理に関する従業員向け啓発セッションを実施したことを示す記録を提供しました。収集した情報に基づき、監査担当者は、両方の情報セキュリティインシデントは能力不足の従業員によって引き起こされたと予測しました。そのため、監査担当者は、関連する経験、資格、受講した研修記録など、インシデントに関与した従業員の能力を示す証拠を確認するため、従業員の人事ファイルを確認するよう求めました。
ブランディング社の監査担当者は、入手した証拠の妥当性を厳密に評価し、受け取った文書情報の信頼性を否定または疑わせる可能性のある証拠がないか常に注意を払っていました。テックボロジー社での監査中、監査担当者はこのアプローチを堅持し、インシデント解決記録を厳密に評価し、さまざまなレベルと職務の従業員に徹底的なインタビューを実施しました。彼らはテックボロジー社の担当者の言葉を鵜呑みにするのではなく、インシデント管理プロセスに関する担当者の主張を裏付ける具体的な証拠を求めました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ4の最後の段落で説明されている監査原則はどれですか？

• A. 公正なプレゼンテーション
• B. リスクベースのアプローチ
• C. 専門家としての懐疑心

シナリオ4
SendPayは、代理店や金融機関のネットワークを通じてグローバルな送金サービスを提供する金融サービス会社です。市場に参入したばかりのSendPayは、昨年ローンチした手数料無料のデジタルプラットフォームを通じて、最高品質のサービスを提供することを目指しています。このプラットフォームにより、顧客はスマートフォンやノートパソコンを使っていつでも送金や受金を行うことができます。当時、SendPayはソフトウェア運用を外部チームに委託しており、そのチームは同社の技術インフラも管理していました。
同社は、ISMS(情報セキュリティマネジメントシステム)を導入してからほぼ1年後、最近ISO/IEC 27001認証の申請を行った。
監査中、監査担当者はSendPayのアウトソーシング業務の検証に重点を置き、特にアウトソーシング先企業が担当するソフトウェア開発と技術インフラの保守について調査した。
彼らは体系的なアプローチを採用し、SendPayのアウトソーシング業務の品質監視プロセスをレビューおよび評価しました。これには、同社が契約上の義務を履行しているかどうかの確認、アウトソーシング先との契約における適切なガバナンス手順の確保、およびアウトソーシング契約の予期される、または予期されない終了に備えたSendPayの計画の評価が含まれていました。
しかしながら、監査人は、SendPayのプロトコルがアウトソーシング契約の予期せぬキャンセルに対する対応策を十分に網羅していないことをさりげなく指摘した。さらに、SendPayが任命した技術専門家が監査人を支援し、監査対象のアウトソーシング業務に関する具体的な知識と専門知識を提供した。
監査チームは、確立された目標との整合性を確保するため、従業員がISMSに関して受けた研修時間を算出しました。また、監査中に採取したサンプルに基づいて情報セキュリティインシデントの平均解決時間を算出し、SendPayのインシデント管理の実践に関する貴重な知見を得ました。さらに、監査担当者は、監査中に収集された証拠の信頼性を評価しました。監査証拠の信頼性に影響を与えるいくつかの要因を考慮しました。例えば、監視カメラの映像は写真よりも客観的な証拠となります。また、タイミングも信頼性に重​​要な役割を果たし、取引記録などの仕組みによって証拠の信頼性が高まります。
SendPayは、業務の効率化と拡張性向上のためにクラウドベースのプラットフォームを利用しています。しかし、監査の際、監査人はリソースの制約からSendPayに対しクラウド活動のインベントリの提出を求めず、SendPayの説明に依拠しました。
質問
SendPayの監査には、アウトソーシング業務の監査に必要なすべての手順が含まれていましたか？

• A. いいえ、監査では、解約計画の見直しなど、重要な手順が見落とされていました。
• B. いいえ、監査チームはアウトソーシング業務の品質監視に関連する手順のみに焦点を当てました。
• C. はい、監査ではアウトソーシング業務のあらゆる側面を調査しました。

次の記述のうち、正しいものはどれですか？(２つ選択可)

• A. 第三者監査の是正において、監査人は、組織が法的要件の変更を認識していることをどのように保証しているかを評価します。
• B. 認証機関の監査の一環として、監査員は組織の法的遵守状況を検証する責任を負います。
• C. 認証機関の監査員の役割は、組織が法的要件を遵守していることを確認するためのプロセスを評価することです。

情報伝達の段階

• A. 創造、使用、処分、維持、進化
• B. 創造、進化、維持、使用、処分
• C. 作成、配布、使用、維持、処分
• D. 作成、配布、維持、処分、使用