システム監査
平成30年度 秋期 基本情報技術者試験 午前 問58
JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
- ア USB メモリの使用を，定められた手順に従って許可していた。
- イ 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
- ウ マルウェアスキャンでスパイウェアが検知され，駆除されていた。
- エ リスクアセスメントを実施した後に，リスク受容基準を決めた。
出典：平成30年度 秋期 基本情報技術者試験 午前 問58
答えと解説を見る
正解：エ
覚える知識
ISMS内部監査の指摘事項の判断(リスク受容基準の順序)
ISMSでは、リスク受容基準をリスクアセスメントの実施前に確立しなければならない。
この問題で必要なこと
ISMSではリスク受容基準を先に決めてからリスクアセスメントを実施する必要があり、順序が逆なのは不適合。
ひっかけ
手順どおりの運用や適切な事故対応を問題と見誤る。
この知識の出題：本試験系 1 回・免除試験 0 回（公開問題での観測値）