【SC試験】セキュリティ監査と第三者評価 — 午前I・午前II・午後 問題セット

正解： イ

解説：

• ア）不正解。監査の客観性は，監査対象業務からの独立性によって担保される。業務担当者自身による監査は「自己監査」となり，客観性・独立性の観点から不適切。
• イ）正解。情報セキュリティ監査は，組織が定めた規程・基準（あるいはISO/IEC 27001等の外部規格）に対する準拠状況を，被監査部門から独立した監査人が検証し，結果を評価する活動である。
• ウ）不正解。外部監査は法令義務がなくても，客観性・専門性の高い第三者視点での評価，取引先や顧客への信頼性証明（認証取得等）といった意義があり，「実施する意義がない」は誤り。
• エ）不正解。情報セキュリティ監査の主目的は処罰ではなく，リスクや不備を発見し，改善につなげることにある。監査人は指摘事項に対する改善提案（助言）を行う役割も担う。

正解： ア

解説：

• ア）正解。認証審査における不適合は，規格要求事項からの重大な逸脱を示す「メジャー不適合」と，軽微な逸脱を示す「マイナー不適合」に分類されるのが一般的であり，メジャー不適合が是正されない限り認証は付与されない（または認証が停止・取消となる）。
• イ）不正解。ISO/IEC 27001の認証は取得後，通常1年ごとのサーベイランス審査（維持審査）と3年ごとの更新審査（再認証審査）が必要であり，「永続的に有効」は誤り。
• ウ）不正解。内部監査（箇条9.2）はISO/IEC 27001の必須要求事項の一つであり，実施状況（計画・実施記録・結果報告等）は外部審査でも確認される重要な審査対象である。
• エ）不正解。認証審査の審査員は，認証機関に所属し被監査組織から独立した第三者でなければならず，被監査組織が指定した従業員を審査員に任命することは独立性の原則に反し認められない。

正解例：

• 影響：メジャー不適合が是正されない限り，認証を取得することができない（33字）
• 是正措置：アクセス権限レビューを速やかに実施し，実施記録を証拠として保管した上で審査機関に是正結果を報告する（50字）

解説・採点基準（計15点）：

メジャー不適合は規格要求事項からの重大な逸脱であり，是正されない限り認証は付与されない。是正措置は，単に規程通りの運用を再開するだけでなく，実施した証拠（レビュー記録，承認記録等）を残し，審査機関に是正の完了を客観的に示すことが求められる。

正解例： 受講管理システムを導入し，未受講者を自動検知・督促する仕組みを整備することで，記録欠落の再発を構造的に防止する（54字→短縮：受講管理システムで未受講者を自動検知・督促する仕組みを整備し，再発を構造的に防止する（43字））

解説・採点基準（計15点）：

監査における是正対応は，指摘された個別事象を修正する「是正処置（欠落記録の補完）」と，同種の不適合が再発しないようにする「再発防止策（プロセス・仕組みの改善）」を区別して計画することが重要である。マイナー不適合であっても，根本原因（受講管理の属人化・チェック体制の不備）に対処する構造的な対策を講じることが，継続的改善（ISO/IEC 27001のPDCAサイクル）の観点から求められる。