システム監査
基本情報技術者試験 科目A免除 修了試験 20191208 実施分 問58
JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
答えを選ぶ
出典：基本情報技術者試験 科目A免除 修了試験 20191208 実施分 問58（問題文は IPA の公開問題。解説は当サイト作成）
答えと解説を見る
正解：エ
覚える知識
ISMS確立の手順(リスク評価→管理策選択→適用宣言書)
リスクアセスメントの前に、リスク受容基準とリスク評価基準を確立しなければならない。
この問題で必要なこと
ISMSではリスク受容基準はリスクアセスメントの実施前に決めておく必要がある。後から決めるのは不適合となる。
ひっかけ
手順どおりの運用を指摘と誤認させる。
この知識の出題：本試験系 2 回・免除試験 2 回（公開問題での観測値）