令和4年度秋期 応用情報技術者試験 午前 問58

正解：エ

AI解説

JIS Q 27001に基づくISMSでは、リスクアセスメントを行う前に、あらかじめリスク受容基準(どこまでのリスクを許容するか)を定めておく必要がある。順序が逆転している(アセスメント実施後に受容基準を決定した)状況は規格要求事項からの逸脱であり、内部監査で指摘すべき不適合となる。よってエが正解。 ア: 定められた手順に従ってUSBメモリの使用を許可することは、統制が機能している適切な状態であり指摘事項ではない。 イ: 個人情報の誤廃棄事故を規定どおり主務官庁に報告したことは、インシデント対応手順が適切に機能している証拠であり指摘事項ではない。 ウ: マルウェアが検知され適切に駆除されたことは、統制(マルウェア対策)が有効に機能している状態であり指摘事項ではない。 エ: 正しい。リスク受容基準はリスクアセスメントの前提として先に定めるべきものであり、アセスメント後に決定したのは手順の逆転であり不適合として指摘すべき事項である。 💡 内部監査の指摘事項を選ぶ問題では、「手順どおりにできている」「規定どおり対応している」選択肢は正常な状態として除外し、規格が要求する順序や要件から外れているものを探すのがコツ。