シナリオ7：Webvue。日本に本社を置くWebvueは、コンピュータソフトウェアの開発、サポート、保守を専門とするテクノロジー企業です。Webvueは、さまざまな技術分野とビジネスセクターにわたるソリューションを提供しています。主力サービスは、ストレージ、ネットワーク、仮想コンピューティングサービスを提供する包括的なクラウドコンピューティングプラットフォームであるCloudWebvueです。企業と個人ユーザーの両方向けに設計されたCloudWebvueは、柔軟性、拡張性、信頼性で知られています。
Webvue は、ISO/IEC 27001 認証範囲に CloudWebvue のみを含めることを決定しました。そのため、ステージ 1 と 2 の監査は同時に実施されました。Webvue は、資産の機密性に関する厳格さを誇りとしています。適切な暗号化制御を使用して、CloudWebvue に保存されている情報を保護しています。内部使用、制限付き、または機密のいずれであっても、分類レベルのすべての情報は、まず一意の対応するハッシュで暗号化され、次にクラウドに保存されます。監査チームは、Keith、Sean、Layla、Sam、および Tina の 5 人で構成されていました。IT および情報セキュリティ監査チームで最も経験豊富な監査人である Keith が監査チームのリーダーでした。彼の責任には、監査の計画と監査チームの管理が含まれていました。ショーンとレイラは、プロジェクト計画、ビジネス分析、IT システム (ハードウェアとアプリケーション) の経験が豊富でした。彼らのタスクには、Webvue の内部システムとプロセスに従った監査計画が含まれていました。一方、最近教育を終えたサムとティナは、監査スキルを開発しながら日々のタスクを完了する責任を負っていました。監査チームは、関連するスタッフへのインタビューを通じて、ISO/IEC 27001 附属書 A の管理 8.24 暗号化の使用への適合性を検証する中で、暗号鍵が最初にランダムビットジェネレータ (RBG) と暗号鍵生成のためのその他のベスト プラクティスに基づいて生成されたことを発見しました。Webvue の暗号化ポリシーを確認した後、インタビューで得られた情報は正しいと結論付けました。しかし、ポリシーでは暗号鍵の使用と有効期間について規定されていないため、暗号鍵はまだ使用されています。
Webvueと認証機関の間で後に合意されたとおり、監査チームは、認証範囲と監査目標に沿って、Webvue内でISO/IEC 27001の管理8.11「データマスキング」への適合性を検証することに特化した仮想監査を実施することに決定しました。彼らは、CloudWebvue内でのデータ保護に関わるプロセスを検証し、同社がポリシーと規制基準をどのように遵守しているかに焦点を当てました。このプロセスの一環として、監査チームリーダーのKeithは、Webvueの慣行の有効性を文書化および分析するために、関連文書と暗号鍵管理手順のスクリーンショットのコピーを取得しました。
Webvue はテスト目的で生成されたテスト データを使用します。ただし、QA 部門のマネージャーへのインタビューとこの部門で使用されている手順の両方から判断すると、ライブ システム データを使用することもあります。このようなシナリオでは、より正確な結果を生成する一方で、大量のデータが生成されます。テスト データは保護され、管理されており、監査中に Webvue の担当者によって実行された暗号化プロセスのシミュレーションによって検証されています。QA 部門のマネージャーにインタビューしているときに、キースは、セキュリティ トレーニング部門の従業員が、この部門が監査範囲外であるにもかかわらず、適切な手順に従っていないことに気づきました。監査範囲から除外されているにもかかわらず、セキュリティ トレーニング部門の不適合は、監査範囲内のプロセスに潜在的な影響を及ぼし、特に CloudWebvue のデータ セキュリティと暗号化の実践に影響を与えます。そのため、キースはこの発見を監査レポートに組み込み、それに応じて被監査者に通知しました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ7に基づき、監査チームはWebvueの暗号化ポリシーを確認し、インタビューで得られた情報の妥当性を確認しました。これはどのような監査手続きを用いたものですか？

• A. 裏付け
• B. 評価
• C. 観察

シナリオ8
Trustingoは2010年からエストニアで銀行および金融サービスを提供しています。同社は全国に30の支店と100台以上のATMを展開しています。厳格なデータセキュリティおよびプライバシー規制に対応するため、TrustingoはISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入し、セキュリティの向上、リスク管理の強化、および法的要件への準拠を実現しています。
ISMSの導入が成功裏に完了してから9か月後、Trustingoは独立した認証機関によるISO/IEC 27001に基づくISMSの認証取得を目指すことを決定しました。認証監査では、Trustingoのシステム、プロセス、およびテクノロジーが対象となりました。
監査チームは第1段階と第2段階の監査を合同で実施し、いくつかの不適合事項が発見された。
最初の不適合事項は、Trustingo社の情報表示に関するものでした。同社は情報分類体系は持っていたものの、情報表示の手順が定められていませんでした。そのため、同じレベルの保護が必要な文書でも、異なるラベルが付けられていました。
不適合はメディア処理にも影響を及ぼした。監査チームはサンプリングを行い、50%が
機密情報として誤って分類された機密性の高い情報が、200個のリムーバブルメディアに保存されていた。情報分類基準によれば、機密情報はリムーバブルメディアに保存できるが、機密性の高い情報の保存は厳しく禁止されている。
監査チームは不適合報告書を作成し、Trustingoの担当者と監査結果について協議した。担当者は、検出された不適合事項に対する改善計画を2か月以内に提出することに同意した。
認証勧告は是正措置の提出を条件としているため、Trustingoはこれらの不適合事項にどのように対処し解決するかを示す是正措置計画を提出する必要があります。Trustingoは監査チームリーダーが提案した解決策を受け入れ、情報表示手順書を作成し、リムーバブルメディア手順を更新することで不適合事項に対処しました。
監査完了から2週間後、Trustingoは一般的な改善計画を提出した。この計画には検出された不適合事項と講じられた是正措置が記載されていたものの、各不適合事項に対する詳細な行動手順が欠けており、影響を受けるシステム、管理体制、または運用に関する具体的な詳細も含まれていなかった。監査チームは改善計画を評価したが、Trustingoは認証に関して不利な勧告を受けた。
質問
シナリオ8に基づき、Trustingoは一般的な行動計画を提出しました。これは受け入れられるでしょうか？

• A. いいえ、改善計画では不適合事項のうち1つだけを取り上げるべきです。
• B. はい、根本原因が同じ不適合については、包括的な行動計画が必要です。
• C. いいえ、監査チームリーダーの承認があれば、一般的な行動計画でも構いません。

あなたは経験豊富な監査チームリーダーで、研修中の監査員を指導しています。あなたのチームは現在、外部クライアントのためにデータを保管する組織に対する第三者監視監査を実施しています。研修中の監査員は、適用範囲記述書(SoA)に記載され、現場で実施されている技術的統制をレビューする任務を負っています。
研修中の監査担当者がレビューすると予想される管理項目を、以下の項目から4つ選択してください。

• A. 情報セキュリティに関する意識向上、教育、トレーニング
• B. 組織の事業継続計画
• C. リモートワーク体制
• D. マルウェア対策はどのように実施されているか
• E. 組織内および他組織への情報伝達に関する規則
• F. サプライヤー契約において情報セキュリティはどのように扱われているか
• G. ソースコードと開発ツールへのアクセスはどのように管理されるか
• H. 荷積み場への出入り
• I. 敷地内のCCTVおよびドア制御システムの運用
• J. 職員の身元確認の実施
• K. 機密保持契約および秘密保持契約
• L. 組織は技術的な脆弱性への曝露をどのように評価しているか
• M. 組織の情報削除に関する取り決め
• N. 組織の機器保守に関する取り決め
• O. 情報資産目録の作成と維持
• P. 電力ケーブルとデータケーブルが建物に引き込まれる方法

監査人は被監査者と効果的にコミュニケーションを取る必要があります。そのため、監査人の個人的な行動は、監査を成功させる上で重要な特性となります。以下に、特性とその簡単な説明を示します。特性と説明を一致させてください。