正答1
解説
正解は1です。
ISMS（Information Security Management System）の規格であるJIS Q 27001は、あらかじめ定めた間隔で内部監査を行うことを求めています。
内部監査では、ISMSが組織自体の要求事項と規格の要求事項に適合しているか、有効に実施・維持されているかを確認します。
【選択肢別解説】
1：○ 監査基準は、JIS Q 27001の要求事項と組織自体が定めた要求事項の両方で定めます。
その適合性を確認するとともに、ISMSが有効に機能しているかも判定します。
2：× 組織自体の要求事項だけでなく、JIS Q 27001の要求事項も監査基準に含めます。
片方だけでは不十分です。
3：× 監査プログラムを作るときは、前回までの監査結果を考慮します。
前回の指摘事項の改善状況などを確かめるためです。
4：× 内部監査は、あらかじめ定めた間隔で計画的に実施します。
不定期の抜き打ちを原則とするものではありません。
【ポイント】
ISMSはPDCAサイクルで運用され、内部監査はC（Check：評価）に当たります。
内部監査の結果はマネジメントレビューで経営陣に報告され、改善につなげます。