令和4年度 高度共通 午前I（PM試験） 問21

正解：エ

AI解説

JIS Q 27001(ISMS要求事項)では、リスクアセスメントの実施前に、リスク受容基準およびアセスメント実施の基準をあらかじめ確立しておくことが要求されている。アセスメント後に受容基準を決めると、結果に合わせて基準を恣意的に設定でき、評価の客観性が失われるからである。よって、後から基準を決めていたエが不適合であり、指摘事項として記載すべきものである。 ア: USBメモリの使用を定められた手順に従って許可するのは、規定どおりの運用であり適合事項である。 イ: 誤廃棄事故を規定どおり主務官庁へ報告しているのは、定められたプロセスの遵守であり指摘事項ではない。 ウ: スパイウェアが検知・駆除されたのは、マルウェア対策が有効に機能した証拠であり、不適合ではない。 エ: 正しい(指摘すべき)。リスク受容基準はリスクアセスメント実施前に定めておく必要があり、実施後に決めるのは規格要求への不適合である。 💡 監査問題は「順序」がひっかけの定番。「基準の設定→アセスメント→対応」の順序が崩れている記述は不適合として指摘対象になる。