ITパスポート試験 令和7年度 公開問題 問59

【正解】ア

ISMSの内部監査では、情報セキュリティマネジメントシステムが、JIS Q 27001の要求事項と、組織が自ら定めた規程や手順などの要求事項の両方に適合しているかを確認します。さらに、定めた活動が実際に実施され、維持され、情報セキュリティ上の目的を達成するために有効に機能しているかも判定します。単に書類や形式を確認するだけではないため、アが適切です。

イは誤りです。監査基準には、組織が定めた要求事項だけでなく、JIS Q 27001の要求事項も含めなければなりません。どちらか一方だけを確認するものではありません。

ウは誤りです。内部監査プログラムを計画するときは、対象となるプロセスの重要性や組織に影響する変更に加え、前回までの監査結果も考慮します。過去に問題があった領域は、重点的に確認する必要があります。

エは誤りです。内部監査は、あらかじめ定めた間隔で計画的に実施するのが原則です。不定期の抜き打ち監査だけを原則とするものではありません。また、監査員の客観性と公平性も確保する必要があります。

【ポイント】 内部監査では「規格への適合」「組織内ルールへの適合」「ISMSの有効性」を確認します。 監査は計画的に行い、前回の結果を次回の監査計画へ反映するというPDCAの考え方が重要です。