令和7年度 ITパスポート試験問59

この問題の解説と、これまでの解答の記録です。

問59

頻出度★★★

ISMS における内部監査に関する記述のうち, 適切なものはどれか。

出典　令和7年度 ITパスポート試験問59

解説

問 59

ア
正解正解はア。ISMS の内部監査は二つの観点で行う。第一に『適合性』、すなわち JIS Q 27001 の要求事項と、組織が自ら定めた情報セキュリティ上の要求事項(方針・規程など)からなる監査基準に ISMS が合っているか。第二に『有効性』、すなわち ISMS が実際に有効に実施・維持され、組織にとって役立っているか。アはこの両方を判定すると述べており、内部監査の目的(JIS Q 27001 箇条9.2)に正しく合致する。
不正解イ
監査基準は『JIS Q 27001 の要求事項』と『組織自体が規定した要求事項』の両方からなる。JIS Q 27001 の要求事項を除外して組織独自の要求事項だけを基準とするのは誤りで、規格適合性の確認ができなくなる。
不正解ウ
内部監査のプログラム(計画)を確立する際には、対象プロセスの重要性や『前回までの監査の結果』を考慮することが規格で求められている。前回の結果を考慮しないとするのは誤り。
不正解エ
内部監査は『あらかじめ定めた間隔(計画的な間隔)』で計画的に実施するのが原則。不定期・抜き打ちを原則とするのは誤りで、監査基準・範囲・頻度・方法を定めたプログラムに基づき計画的に行う。

ここがポイント

ISMS 内部監査の目的は『適合性』(JIS Q 27001 と組織自身が定めた要求事項=監査基準への合致)と『有効性』(ISMS が有効に実施・維持されているか)の両方を判定すること。
内部監査はあらかじめ定めた間隔で計画的に行い、監査プログラムは前回までの監査結果や対象の重要性を考慮して確立する(JIS Q 27001 箇条9.2)。

用語

解答問59ア