平成30年度 秋期 基本情報技術者試験 問58

解説

正解は4です。 ISMS内部監査では、組織の活動がJIS Q 27001の要求事項に適合しているかを確認します。 適合していない状況が、監査報告書に記載すべき指摘事項になります。 【選択肢別解説】 1：× USBメモリの使用を定められた手順に従って許可しているのは、規定どおりの運用です。 指摘事項には当たりません。 2：× 個人情報の誤廃棄事故を規定どおりに主務官庁へ報告しているのは、適切なインシデント対応です。 指摘事項には当たりません。 3：× スパイウェアが検知され駆除されたのは、マルウェア対策が有効に機能している状況です。 指摘事項には当たりません。 4：○ JIS Q 27001では、リスク受容基準を含むリスク基準を確立したうえでリスクアセスメントを行うことを求めています。 アセスメントの後に基準を決めるのは順序が逆で、不適合として指摘すべきです。 【ポイント】 リスク受容基準は、アセスメントで評価したリスクを受け入れるかどうかを判断する物差しです。 物差しを後から決めると、評価の結果に合わせて基準を都合よく変えられてしまうため、事前に決める必要があります。