2018年度 秋期 情報セキュリティマネジメント 午前 問37

JIS Q 27001 に基づく ISMS 内部監査において、監査報告書に記載すべき指摘事項は、規格の要求事項を満たしていない、または満たす可能性のある状況です。選択肢エは、リスクアセスメント（組織が直面する情報セキュリティ上の脅威や脆弱性を評価すること）を実施した後にリスク受容基準（どの程度のリスクまで許容するかを定めた基準）を決めた、とあります。これは、リスクアセスメントの結果を踏まえてリスク受容基準を決定するという、規格の要求手順とは逆であり、不備として指摘されるべき事項です。選択肢アは定められた手順に従って許可しており、イは規定通りに報告しており、ウはマルウェアを検知・駆除しており、これらは規格の要求事項を満たしている、あるいは良好な運用を示唆するため、指摘事項には該当しません。