PECB ISO-IEC-27001-Lead-Auditor日本語 問題集

質問 1：
監査結果とは、収集した監査証拠を監査基準に照らして評価した結果です。以下の監査証拠の形式案を評価し、許容できるものを2つ選択してください。
A. 試験結果に対する署名のない手書きの変更
B. IT監査の結果に関する文書化された情報
C. 検証不可能なシステムエンジニアの発言
D. ITマネージャーによる事実陳述
E. ITマネージャーとシステムエンジニアの対話の音声録音
F. 危険な活動の実施を実演する、以前に録画されたビデオの観察
正解：B,F
解説: (Topexam メンバーにのみ表示されます)

質問 2：
あなたは経験豊富な監査チームリーダーであり、研修中の監査担当者を指導しています。
あなたのチームは現在、外部クライアントのためにデータを保管する組織に対する第三者監視監査を実施しています。研修中の監査担当者は、適用範囲記述書(SoA)に記載され、当該サイトで実施されている物理的統制をレビューする任務を負っています。
研修中の監査担当者がレビューすると予想される管理項目を、以下の項目から4つ選択してください。
A. 職員の身元確認の実施
B. 組織の事業継続計画
C. 情報セキュリティに関する意識向上、教育、およびトレーニング
D. 情報資産目録の作成と維持
E. 組織の機器保守に関する取り決め
F. 電力ケーブルとデータケーブルが建物に引き込まれる方法
G. 荷積み場への出入り
H. 敷地内のCCTVおよびドア制御システムの運用
正解：E,F,G,H
解説: (Topexam メンバーにのみ表示されます)

質問 3：
あなたは、入居者が常に位置情報、心拍数、血圧をモニタリングするための電子リストバンドを装着している介護施設で、ISMS(情報セキュリティマネジメントシステム)監査を実施しています。このリストバンドは、これらのデータを自動的にクラウドサーバーにアップロードし、職員による健康状態のモニタリングと分析に利用します。
あなたは、情報セキュリティポリシーと目標が経営陣によって確立されていることを検証したいと考えています。モバイルデバイスポリシーを調査したところ、このポリシーのセキュリティ目標の一つが「テレワークとモバイルデバイスの使用におけるセキュリティを確保すること」であることが分かりました。このポリシーでは、これを実現するために以下の管理策が適用されるとされています。
個人の携帯端末が介護施設のネットワークに接続したり、入居者のデータを処理・保存したりすることは禁止されています。
ISMSの適用範囲内にある会社のモバイルデバイスは、資産台帳に登録されなければならない。
同社のモバイルデバイスは、物理的な保護機能、すなわちPINコードによる画面ロック／ロック解除、顔認証または指紋認証によるデバイスのロック解除機能を実装または有効化するものとする。
会社のモバイル端末は定期的にバックアップを取る必要がある。
モバイルデバイスに関するポリシーと目標が実施され、効果的であることを確認するために、監査証跡として3つのオプションを選択してください。
A. 内部監査報告書を確認し、IT部門が監査を受けていることを確認する
B. 資産台帳を確認し、会社のすべてのモバイルデバイスが登録されていることを確認する。
C. 機器の供給業者にインタビューを行い、ISMSポリシーを認識していることを確認する。
D. 受付担当者にインタビューして、介護施設に入る前に訪問者と従業員の荷物がすべて検査されていることを確認してください。
E. 経営幹部へのインタビューを実施し、情報セキュリティポリシーおよび情報セキュリティ目標の策定における彼らの関与を確認する。
F. 勤務中の医療スタッフからモバイルデバイスをいくつかサンプリングし、資産台帳と照合してモバイルデバイスの情報を検証する。
G. 訪問者登録簿を確認し、訪問者が介護施設内に個人の携帯電話を持ち込むことができないようにする。
H. 資産台帳を確認し、すべての個人用モバイルデバイスが登録されていることを確認する。
正解：A,B,F
解説: (Topexam メンバーにのみ表示されます)

質問 4：
あなたは経験豊富なISMS監査チームリーダーとして、研修中の監査員たちに指導を行っています。本日のレッスンのテーマは、ISO/IEC 27001:2022の要求事項に準拠した情報セキュリティリスクの管理です。
あなたは授業で一連の活動を行います。そして、それらの活動を基準に記載されている順序に並べ替えるように生徒に指示します。
彼らがあなたに報告する正しい順序は何ですか？

正解：

Explanation:

The correct sequence of activities for the management of information security risk in accordance with the requirements of ISO/IEC 27001:2022 is as follows:
1st: Create and maintain information security risk criteria 2nd: Identify the risks that need to be considered when planning for the information security management system 3rd: Assess the potential consequences that would arise if the risk were to materialise 4th: Select appropriate risk treatment options 5th: Carry out information security risk assessments at planned intervals 6th: Consider the results of risk assessment and the status of the risk treatment plan at management review This sequence is based on the information security risk management process described in ISO/IEC 27001:
2022 clause 6.1, which includes the following activities:
* establishing and maintaining information security risk criteria;
* ensuring that repeated information security risk assessments produce consistent, valid and comparable results;
* identifying the information security risks;
* analyzing the information security risks;
* evaluating the information security risks;
* treating the information security risks;
* accepting the information security risks and the residual information security risks;
* communicating and consulting with stakeholders throughout the process;
* monitoring and reviewing the information security risks and the risk treatment plan.
References:
ISO/IEC 27001:2022, clause 6.1
[PECB Candidate Handbook ISO/IEC 27001 Lead Auditor], pages 14-15
ISO 27001 Risk Management in Plain English

質問 5：
文を最も適切に完成させる単語を選択してください。

正解：

Explanation:

The word that best completes the sentence is "demonstrate". According to ISO/IEC 27001:2022, Clause 7.5, the organization shall retain documented information as evidence of the performance of the processes and the conformity of the products and services with the requirements1. The purpose of retaining documented information is to demonstrate conformity with the requirements of the management system standard, not to maintain, audit, or certify it. References: 1: ISO/IEC 27001:2022, Information technology - Security techniques - Information security management systems - Requirements, Clause 7.5

質問 6：
あなたが勤務するデータセンターは現在、ISO/IEC 27001:2022認証の取得を目指しています。あなたの最初の認証訪問に備え、グループ内の別のデータセンターに勤務する同僚が、いくつかの内部監査を実施しました。その同僚は、今年初めにISO/IEC 27001:2022認証を取得しています。
あなたは内部ISMS監査員の資格を取得したばかりで、上司から外部認証機関が到着する前の最終チェックとして、監査プロセスと監査結果を確認するよう依頼されました。
ISO/IEC 27001:2022の要求事項への適合性に関して、以下の項目のうちどれが懸念事項となりますか？(4つ選択可)
A. 各内部監査の範囲は定義されていますが、これまでに実施された監査には監査基準が定義されていません。
B. 監査プログラムは、過去の監査結果を考慮していません。
C. 監査プロセスでは、監査結果はトップマネジメントではなく、「関係する」マネージャーに提供されると規定されています。
D. 監査報告書は紙媒体(紙)では保管されません。組織のイントラネット上にPDF文書としてのみ保存されます。
E. 監査プログラムには、監査方法や監査責任に関する記述はありません。
F. 監査プログラムでは、年間を通じて不定期に経営陣によるレビューが実施されていることが示されています。
G. 監査プログラムには「経営陣による承認」の署名がありません。
H. 監査プログラムは、情報セキュリティプロセスの相対的な重要性を考慮していません。
正解：A,B,E,H