質問：
以下の状況のうち、どれが脅威を表していますか？

• A. サイバー攻撃者は、組織のファイアウォールソフトウェアのゼロデイ脆弱性を悪用してネットワークに侵入した。
• B. 従業員が正規の認証情報を使用して不正なファイルにアクセスした
• C. 組織がクラウドサービスに多要素認証(MFA)を導入していない

シナリオ6：Cyber​​ ACryptは、マルウェア対策、デバイスセキュリティ、資産ライフサイクル管理、デバイス暗号化を提供することでエンドポイント保護を実現するサイバーセキュリティ企業です。同社は、ISO/IEC 27001に準拠したISMSの検証と、サイバーセキュリティにおける卓越性への取り組みを示すため、任命された監査チームリーダーであるジョンが主導する綿密な監査プロセスを受けました。
監査の委任を受諾すると、ジョンはすぐに監査計画とチームの役割を概説する会議を組織しました。この段階は、チームを監査の目的と範囲に合わせるために重要でした。しかし、サイバーアクリプトのスタッフへの最初のプレゼンテーションでは、監査の範囲と目的の理解に大きなギャップがあることが明らかになり、社内での準備上の潜在的な課題が示されました。ステージ1の監査が開始されると、チームはオンサイト活動の準備を行いました。彼らは、サイバー アクリプトの情報セキュリティ ポリシーと運用手順を含む文書化された情報をレビューし、各文書が準拠し、作成者識別、作成日、バージョン番号、承認日を含む形式で標準化されていることを確認しました。さらに、監査チームは、各文書に標準のそれぞれの条項で要求される情報が含まれていることを確認しました。このフェーズでは、タスクの実行を説明する文書の詳細な監査は不要であることが明らかになり、プロセスが合理化され、チームの努力が重要な領域に集中しました。オンサイト活動を実施するフェーズでは、チームはサイバー アクリプトのポリシーに対する管理責任を評価しました。この徹底的な調査は、継続的な改善と ISMS 要件への準拠を確認することを目的としていました。その後、文書の第 1 段階監査出力フェーズで、監査チームは調査結果を綿密に文書化し、第 1 段階の目標の達成に関する結論を強調しました。この文書は、監査チームとサイバー アクリプトが予備監査の結果と注意が必要な領域を理解するために不可欠でした。
監査チームは、主要な関係者へのインタビューを実施することも決定した。この決定は、マネジメントシステムのISO準拠を検証するための確固たる監査証拠を収集するという目的に基づいている。
/IEC 27001の要求事項。サイバーACryptのさまざまなレベルの関係者と連携することで、監査チームはISMSの実装と有効性に関する貴重な視点と理解を得ることができました。
第1段階の監査報告書では、重大な懸念事項が明らかになった。適用範囲宣言書(SoA)とISMSポリシーには、リスク評価の不足、アクセス制御の不備、定期的なポリシー見直しの欠如など、いくつかの点で不備が見つかった。これを受け、Cyber​​ ACryptはこれらの不備に対処するため、直ちに行動を起こした。迅速な対応と戦略文書の修正は、コンプライアンス達成への強いコミットメントを示すものであった。
監査チームのサイバーセキュリティに関する知識のギャップを埋めるために導入された技術専門家は、リスク評価方法論の欠陥を特定し、ネットワークアーキテクチャをレビューする上で極めて重要な役割を果たしました。これには、ファイアウォール、侵入検知・防御システム、その他のネットワークセキュリティ対策の評価、およびCyber​​ ACryptが外部および内部の脅威をどのように検知、対応、復旧するかの評価が含まれていました。ジョンの監督の下、技術専門家は監査結果をCyber​​ ACryptの担当者に伝えました。しかし、監査チームは、専門家が被監査企業からコンサルティング料を受け取っていたため、客観性が損なわれていた可能性があることに気づきました。監査中の技術専門家の行動を考慮し、監査チームリーダーはこの懸念について認証機関と話し合うことにしました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ6に基づくと、監査チームリーダーによる技術専門家の行動に関する決定は妥当でしょうか？

• A. いいえ、監査チームリーダーは問題を経営陣に直接報告すべきでした。
• B. いいえ、専門家の客観性に疑問を呈することは、監査チームリーダーが認証機関とこの件について話し合う正当な理由にはなりません。
• C. はい、監査人が技術専門家の客観性に疑問を抱く場合は、認証機関と懸念事項について話し合う必要があります。

シナリオ2
ナイト社は、米国カリフォルニア州北部を拠点とする電子機器メーカーで、ビデオゲーム機を開発している。
世界中に300名以上の従業員を擁するナイト社は、創立5周年を記念して、国際市場をターゲットとした次世代ゲームシステム「G-Console」を発表しました。G-Consoleは2021年最高のメディアマシンと位置づけられており、プレイヤーに最高のゲーム体験を提供します。本体にはVRヘッドセット2台、ゲームソフト2本、その他特典が同梱されます。
長年にわたり、同社は誠実さ、正直さ、そして顧客への敬意において高い評価を築いてきました。顧客志向の企業であることに加え、ナイト社はその品質の高さからゲーム業界内で広く認知されています。
世界有数のビデオゲーム機開発企業であるナイト社は、悪意のある活動の標的となることが少なくありません。そのため、ISO/IEC 27001に基づいた情報セキュリティマネジメントシステム(ISMS)を導入し、その適用範囲を毎週の会議で全従業員に周知徹底しています。
しかし最近、ナイト社はハッカーによる機密情報の漏洩というセキュリティ侵害に見舞われた。これを受け、インシデント対応チーム(IRT)は直ちにシステムと事件の詳細について徹底的な調査を開始した。当初、IRTは従業員が脆弱なパスワードを使用していたため、ハッカーが容易にアカウントにアクセスできたのではないかと疑った。さらに調査を進めた結果、ハッカーが認証に平文パスワードを使用するファイル転送プロトコル(FTP)の通信を傍受していたことが判明した。
今回のセキュリティインシデントを受け、IRT(インシデント対応チーム)の勧告に従い、ナイト社はFTPプロトコルをセキュアシェル(SSH)プロトコルに置き換えることを決定しました。この変更により、傍受された通信はすべて暗号化され、セキュリティが大幅に向上します。
これらの変更を実施した後、ナイト社はリスク評価を実施し、対策の実施によって同様の事故のリスクが最小限に抑えられたことを確認した。リスク評価の結果に基づき、リスクに対処するための対策を選択した。
質問
シナリオ2に基づくと、リスク評価の結果に基づいてリスク対応策が決定されました。これは許容範囲内でしょうか？

• A. いいえ、リスク治療の選択肢は、偏りのない意思決定を保証するためにランダムに選択されるべきです。
• B. はい、適切なリスク対策の選択肢としては、リスク評価の結果を考慮に入れることが挙げられます。
• C. いいえ、リスク評価の結果に関わらず、リスク対策の選択肢は財務上の考慮事項のみに基づいて決定されるべきです。

シナリオ7：ローシーは、ニュージャージー州とニューヨーク市にオフィスを構える大手法律事務所です。50名以上の弁護士が、企業法務、商法、知的財産、銀行業務、金融サービスなど、幅広い分野で高度な法的サービスを顧客に提供しています。同社は、情報セキュリティのベストプラクティスを実践し、技術開発の最新動向を常に把握することで、市場において確固たる地位を築いていると確信しています。
Lawsyは、ISMS(情報セキュリティマネジメントシステム)の導入、評価、内部監査を、2年間にわたり厳密に実施してきた。
現在、彼らは知名度が高く信頼できる認証機関であるISMAにISO/IEC 27001認証の申請を行っている。
第1段階の監査では、監査チームは導入期間中に作成されたすべてのISMS文書をレビューした。
彼らはまた、経営陣によるレビューや内部監査の記録を精査し、評価した。
Lawsy社は、不適合に対する是正措置が必要に応じて実施されたことを示す証拠記録を提出したため、監査チームは内部監査担当者にインタビューを実施した。インタビューでは、内部監査計画と手順に関する詳細な情報が得られ、内部監査の適切性と頻度が検証された。
監査チームは、情報セキュリティポリシーやリスク評価基準などの戦略文書の検証を継続した。情報セキュリティポリシーのレビュー中に、チームは、ガバナンスフレームワーク(すなわち情報セキュリティポリシー)を説明する文書化された情報と手順との間に矛盾があることに気づいた。
従業員は職場外にノートパソコンを持ち出すことが許可されていたものの、Lawsy社にはそのような場合のノートパソコンの使用に関する手順が定められていなかった。社内規定にはノートパソコンの使用に関する一般的な情報しか記載されていなかった。同社は、ノートパソコンに保存されている情報の機密性と完全性を保護するために、従業員の常識に頼っていた。この問題は、第1段階監査報告書に記載されている。
第1段階の監査が完了すると、監査チームリーダーは監査計画書を作成した。この計画書には、監査の目的、範囲、基準、および手順が記載されている。
第2段階の監査において、監査チームは情報セキュリティポリシーを作成した情報セキュリティマネージャーにインタビューを行った。彼は、第1段階で指摘された問題点について、Lawsy社が3ヶ月ごとに情報セキュリティに関する必須の研修と啓発セッションを実施していると述べて正当化した。
面接後、監査チームは従業員研修記録50件のうち15件を調査し、Lawsy社が研修および意識向上に関するISO/IEC 27001の要件を満たしていると結論付けた。この結論を裏付けるため、調査対象となった従業員研修記録のコピーを作成した。
上記のシナリオに基づいて、次の質問に答えてください。
シナリオ7に基づくと、Lawsyはステージ2監査の開始前に何をすべきでしょうか？

• A. 第1段階監査の監査結果について品質レビューを実施する
• B. コンプライアンスを検証するために組み合わせることができる監査テスト計画を定義する
• C. 認証機関と監査計画をレビューし、確認する。

あなたは、クライアントのISMS(情報セキュリティマネジメントシステム)に関する第三者監視監査を実施しています。現在、あなたはデータセンターのセキュリティ保護された保管エリアにいます。このエリアは、組織の顧客が施設に出入りする機器を一時的に保管できる場所です。機器は施錠されたキャビネットに保管されており、各キャビネットは特定のクライアントに割り当てられています。
視界の隅で、倉庫の外扉付近で何かが動いているのが見えた。続いて大きな音がした。ガイドに何が起こっているのか尋ねると、最近の豪雨で地元の川の水位が上がり、ネズミが大量発生したとのことだった。その音は、害虫駆除用のスタンガンが作動した音だった。隅にあるスタンガンを確認すると、中に大きなネズミが動けなくなっていた。
次に取るべき適切な行動を3つ挙げるとすれば何でしょうか？

• A. 管理7.4 物理的セキュリティ監視に対する不適合を報告する
• B. 降雨量の多さがデータセンターの運用に他の影響を与えたかどうかを判断する。例:
  インフラへの損害、顧客のアクセス問題、事業継続計画の発動
• C. これ以上の対応は不要です。これはISMS監査であり、環境マネジメントシステム監査ではありません。
• D. クライアントのキャビネットを点検し、ネズミの侵入の兆候がないか確認し、監査証拠として調査結果を記録してください。
• E. 害虫の発生がリスクとして特定されているかどうかを調査し、特定されている場合は、どのようなリスク対策を講じるべきかを検討する。
• F. ガイドがネズミを人道的に処分するのを手伝い、装置をリセットしてください。
• G. ガイドに、組織の情報セキュリティインシデントプロセスを開始する予定であることを確認してください。
• H. 管理7.2に対する不適合を報告する。