令和4年度 秋期 応用情報技術者試験 問58

解説

正解は4です。 JIS Q 27001:2014に基づくISMS内部監査で、監査人が指摘事項として報告すべき状況を選ぶ問題です。 指摘事項とは、規格や組織の規定に適合していない状況のことです。 【選択肢別解説】 1：× USBメモリの使用を定められた手順に従って許可しているので、規定どおりの運用です。 指摘事項にはなりません。 2：× 個人情報の誤廃棄事故を規定どおり主務官庁などへ報告しているので、事故後の対応は適切です。 指摘事項にはなりません。 3：× マルウェアスキャンでスパイウェアを検知して駆除できており、対策が正しく機能しています。 指摘事項にはなりません。 4：○ JIS Q 27001では、リスク受容基準を含むリスク基準を確立したうえで、リスクアセスメントを行うことが求められます。 アセスメントの後に受容基準を決めるのは手順が逆で、規格に適合しません。 【ポイント】 リスク受容基準を後から決めると、アセスメントの結果に合わせて基準を都合よく設定できてしまいます。 そのため、基準は事前に決めておく必要があります。