Study with PECB : ISO-IEC-27001-Lead-Auditor日本語 Exam Torrent as your best preparation materials

シナリオ6：Sinvestmentは、住宅保険、商業保険、生命保険を提供する保険会社です。同社はノースカロライナ州で設立されましたが、近年、ヨーロッパやアフリカを含む他の地域にも事業を拡大しています。
Sinvestmentは、業界に適用される法令を遵守し、情報セキュリティインシデントの発生を防止することに尽力しています。同社はISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入し、ISO/IEC 27001認証の取得を申請しています。
認証機関は2名の監査員を任命し、監査を実施させた。監査員はSinvestment社と機密保持契約を締結した後、監査活動を開始した。まず、ISMSの適用範囲宣言書、情報セキュリティポリシー、内部監査報告書など、規格で要求される文書を精査した。Sinvestment社は文書化手順を定めていると述べていたものの、すべての文書が同じ形式ではなかったため、精査は容易ではなかった。
その後、監査チームはSinvestmentの経営陣に対し、ISMS導入における彼らの役割を理解するため、複数回のインタビューを実施した。第1段階監査の活動はすべてリモートで実施されたが、文書情報のレビューはSinvestmentの要請により現地で行われた。
この段階で、監査担当者は情報セキュリティ研修および啓発プログラムに関する文書が存在しないことを発見しました。質問に対し、Sinvestmentの担当者は、全従業員に情報セキュリティ研修を実施済みであると回答しました。第1段階の監査により、監査チームはSinvestmentの業務内容とISMSの概要を把握することができました。
第2段階監査は、第1段階監査の3週間後に実施されました。監査チームは、マーケティング部門(監査範囲外)において、従業員のアクセス権限を管理するための手順が整備されていないことを確認しました。従業員のアクセス権限の管理はISO/IEC 27001の要求事項の一つであり、同社の情報セキュリティポリシーにも含まれていたため、この問題は監査報告書に記載されました。さらに、第2段階監査において、監査チームはSinvestment社がユーザーアクティビティのログを記録していないことも確認しました。
同社の手順書には「ユーザー活動を記録し、定期的に確認するログを保持すること」と記載されていたが、同社はそのような手順が実施されていることを示す証拠を一切提示しなかった。
監査活動全体を通して、監査員は観察、インタビュー、文書情報のレビュー、分析、および技術検証を用いて情報と証拠を収集しました。第1段階と第2段階におけるすべての監査結果が分析され、監査チームは認証に関する肯定的な勧告を行うことを決定しました。
ISO/IEC 27001の要求事項によれば、企業はユーザー活動を記録するログに関する手順の実施状況を示す証拠を提出する必要があるでしょうか？シナリオ6を参照してください。

• A. いいえ、この手順の実施は規格の要件ではないからです
• B. はい、ユーザーアクティビティを記録したイベントログは保管し、定期的に確認する必要があります。
• C. いいえ、会社はこの手順の実施を推奨しただけです。

シナリオ2：ナイト社は、米国カリフォルニア州北部に拠点を置く、ビデオゲーム機を開発する電子機器メーカーです。ナイト社は世界中に300名以上の従業員を抱えています。創業5周年を機に、同社は世界市場をターゲットとした新世代ビデオゲーム機「G-Console」の発売を決定しました。G-Consoleは、プレイヤーに最高のゲーム体験を提供する、2021年を代表する究極のメディアマシンと位置づけられています。
コンソールパックには、VRヘッドセット2個、
ゲームやその他の贈り物。
長年にわたり、同社は誠実さ、正直さ、そして顧客への敬意を示すことで高い評価を築いてきました。この高い評価こそが、多くの熱心なゲーマーがKnightのGコンソールを発売と同時に手に入れようとする理由の一つです。
ナイト社は顧客志向の企業であることに加えて、
また、その品質の向上により、ゲーム業界内で広く認知されるようになった。ただし、価格は妥当な基準からするとやや高めである。
とはいえ、ナイト社の製品の品質は最高レベルであるため、ほとんどの常連客にとっては問題とはみなされていない。
世界有数のビデオゲーム機開発企業であるナイト社は、悪意のある活動の標的となることも少なくありません。同社は1年以上前からISMS(情報セキュリティマネジメントシステム)を運用しています。ISMSの適用範囲は、財務部門と人事部門を除くナイト社の全部門に及びます。
最近、ナイト社の機密情報を含む複数のファイルがハッカーによって流出しました。ナイト社のインシデント対応チーム(IRT)は直ちにシステム全体と事件の詳細の分析を開始しました。
IRT(情報調査チーム)は当初、ナイト社の従業員が脆弱なパスワードを使用していたため、ハッカーに容易に突破され、アカウントに不正アクセスされたのではないかと疑った。しかし、事件を綿密に調査した結果、ハッカーはファイル転送プロトコル(FTP)の通信を傍受することでアカウントにアクセスしていたことが判明した。
FTPは、アカウント間でファイルを転送するためのネットワークプロトコルです。認証には平文のパスワードを使用します。
この情報セキュリティインシデントの影響を受け、IRTの提案を受けて、ナイト社はFTPをセキュアシェル(SSH)プロトコルに置き換えることを決定した。これにより、通信を傍受する者は暗号化されたデータしか見ることができないようになる。
これらの変更を受けて、ナイト社はリスク評価を実施し、管理策の導入によって同様の事故のリスクが最小限に抑えられたことを確認した。この評価結果はISMSプロジェクトマネージャーによって承認され、新しい管理策の導入後のリスクレベルは同社のリスク許容レベルに合致していると判断された。
このシナリオに基づいて、次の質問に答えてください。
シナリオ2に基づき、ナイト社はFTPをセキュアシェル(SSH)プロトコルに置き換えることを決定しました。この場合、適用範囲に関する声明(SoA)を更新する必要があるでしょうか？

• A. いいえ、SSHプロトコルの使用はISO/IEC 27001の要件ではないため、SoAに含める必要はありません。
• B. はい、新しい管理策の実施は正当化され、SoAに含める必要があります。
• C. いいえ、SoAは新しいコントロールが追加された場合にのみ更新されるべきであり、古いコントロールがキャンセルされた場合には更新されるべきではないからです。

シナリオ7：Webvue。日本に本社を置くWebvueは、コンピュータソフトウェアの開発、サポート、保守を専門とするテクノロジー企業です。Webvueは、さまざまな技術分野とビジネスセクターにわたるソリューションを提供しています。主力サービスは、ストレージ、ネットワーク、仮想コンピューティングサービスを提供する包括的なクラウドコンピューティングプラットフォームであるCloudWebvueです。企業と個人ユーザーの両方向けに設計されたCloudWebvueは、柔軟性、拡張性、信頼性で知られています。
Webvue は、ISO/IEC 27001 認証範囲に CloudWebvue のみを含めることを決定しました。そのため、ステージ 1 と 2 の監査は同時に実施されました。Webvue は、資産の機密性に関する厳格さを誇りとしています。適切な暗号化制御を使用して、CloudWebvue に保存されている情報を保護しています。内部使用、制限付き、または機密のいずれであっても、分類レベルのすべての情報は、まず一意の対応するハッシュで暗号化され、次にクラウドに保存されます。監査チームは、Keith、Sean、Layla、Sam、および Tina の 5 人で構成されていました。IT および情報セキュリティ監査チームで最も経験豊富な監査人である Keith が監査チームのリーダーでした。彼の責任には、監査の計画と監査チームの管理が含まれていました。ショーンとレイラは、プロジェクト計画、ビジネス分析、IT システム (ハードウェアとアプリケーション) の経験が豊富でした。彼らのタスクには、Webvue の内部システムとプロセスに従った監査計画が含まれていました。一方、最近教育を終えたサムとティナは、監査スキルを開発しながら日々のタスクを完了する責任を負っていました。監査チームは、関連するスタッフへのインタビューを通じて、ISO/IEC 27001 附属書 A の管理 8.24 暗号化の使用への適合性を検証する中で、暗号鍵が最初にランダムビットジェネレータ (RBG) と暗号鍵生成のためのその他のベスト プラクティスに基づいて生成されたことを発見しました。Webvue の暗号化ポリシーを確認した後、インタビューで得られた情報は正しいと結論付けました。しかし、ポリシーでは暗号鍵の使用と有効期間について規定されていないため、暗号鍵はまだ使用されています。
Webvueと認証機関の間で後に合意されたとおり、監査チームは、認証範囲と監査目標に沿って、Webvue内でISO/IEC 27001の管理8.11「データマスキング」への適合性を検証することに特化した仮想監査を実施することに決定しました。彼らは、CloudWebvue内でのデータ保護に関わるプロセスを検証し、同社がポリシーと規制基準をどのように遵守しているかに焦点を当てました。このプロセスの一環として、監査チームリーダーのKeithは、Webvueの慣行の有効性を文書化および分析するために、関連文書と暗号鍵管理手順のスクリーンショットのコピーを取得しました。
Webvue はテスト目的で生成されたテスト データを使用します。ただし、QA 部門のマネージャーへのインタビューとこの部門で使用されている手順の両方から判断すると、ライブ システム データを使用することもあります。このようなシナリオでは、より正確な結果を生成する一方で、大量のデータが生成されます。テスト データは保護され、管理されており、監査中に Webvue の担当者によって実行された暗号化プロセスのシミュレーションによって検証されています。QA 部門のマネージャーにインタビューしているときに、キースは、セキュリティ トレーニング部門の従業員が、この部門が監査範囲外であるにもかかわらず、適切な手順に従っていないことに気づきました。監査範囲から除外されているにもかかわらず、セキュリティ トレーニング部門の不適合は、監査範囲内のプロセスに潜在的な影響を及ぼし、特に CloudWebvue のデータ セキュリティと暗号化の実践に影響を与えます。そのため、キースはこの発見を監査レポートに組み込み、それに応じて被監査者に通知しました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ7に基づくと、監査報告書にセキュリティ研修部門を含めるというキースの選択は適切だったと言えるでしょうか？

• A. はい、彼は監査報告書にセキュリティトレーニング部門を組み込むべきでした。
• B. いいえ、彼はそれを含めるべきではなく、被監査者に観察された状況のみを伝えるべきでした。
• C. いいえ、彼は被監査者に観察された状況を知らせずにそれを含めるべきでした

シナリオ3：Rebuildyはタイのバンコクに拠点を置く建設会社で、住宅の設計、建設、保守を専門としています。機密性の高いプロジェクトデータと顧客情報のセキュリティを確保するため、RebuildyはISO/IEC 27001に基づくISMS(情報セキュリティマネジメントシステム)を導入することを決定しました。これには、情報セキュリティリスクの包括的な理解、明確な継続的改善アプローチ、および堅牢なビジネスソリューションが含まれます。
ISMS導入の成果を以下に示します。
情報セキュリティは、一連のセキュリティ対策を適用し、ポリシー、プロセス、手順を確立することによって実現されます。
セキュリティ対策はリスク評価に基づいて実施され、リスクを排除または許容可能なレベルまで低減することを目的としています。
*すべてのプロセスは、計画・実行・評価・改善(PDCA)モデルに基づき、ISMSの継続的な改善を保証します。
情報セキュリティポリシーは、最良のセキュリティ慣行に基づいて作成されたセキュリティマニュアルの一部であるため、単独の文書ではありません。
情報セキュリティに関する役割と責任は、すべての従業員の職務記述書に明確に記載されています。
*ISMSの経営陣によるレビューは、計画された間隔で実施されます。
Rebuildy は、2 回の中間経営レビューと 1 回の年次内部監査を経て認証を申請しました。認証監査の前に、Rebuildy の元従業員の 1 人が監査チームのメンバーの 1 人に近づき、Rebuildy には会社が隠蔽しようとしているセキュリティ上の問題がいくつかあると伝えました。元従業員は文書化された証拠を監査チームのメンバーに提示しました。Rebuildy の主要顧客である Electra も同じ問題について証拠を提出し、監査人は元従業員の証拠ではなくこの証拠を採用することにしました。監査チームのメンバーは監査が完了するまで Electra と連絡を取り続け、監査中に発見された不適合について話し合いました。Electra はこれらの発見を裏付ける追加の証拠を提供しました。
監査の開始時に、監査チームは同社の経営陣にインタビューを行った。インタビューでは、経営陣のISMS導入への取り組みなどについて話し合われた。これらの話し合いから得られた証拠は書面による確認書に記録され、RebuildyがISO/IEC 27001のいくつかの条項に適合しているかどうかを判断するために使用された。Electraから得られた文書化された証拠は、不適合報告書とともに監査報告書に添付された。特に、以下の不適合が検出された。
会社の財務報告システムにおいて、不適切なユーザーアクセス制御設定が検出されました。
独立した情報セキュリティポリシーは策定されていません。代わりに、当社はセキュリティに関するベストプラクティスに基づいて作成されたセキュリティマニュアルを使用しています。
監査チームからこれらの文書を受け取った後、チームリーダーはRebuildyの経営陣と面会し、監査結果を報告した。監査チームは、財務報告システムと独立した情報セキュリティポリシーの欠如に関する調査結果を報告した。経営陣は調査結果に不満を表明し、監査チームリーダーの行動はプロ意識に欠けると示唆し、交代を要求する可能性を示唆した。プレッシャーを受けた監査チームリーダーは、検出された不適合の重要性を軽視するために経営陣と協力することにした。その結果、監査チームリーダーは報告書をより好ましい内容に修正し、Rebuildyのコンプライアンス問題の真の深刻さを誤って伝えてしまった。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
シナリオ3で説明されている行動のうち、監査チームリーダーが独立性の原則に違反したことを示すものはどれですか？

• A. 監査チームは、元従業員の証拠を情報源を明かさずに監査報告書に含めた。
• B. 監査チームリーダーが、リビルディに関する機密情報を元従業員に漏洩した。
• C. 監査チームリーダーは、監査結果を経営陣と協議した後、好意的な報告書を送付した。

認証機関の監査プログラムを管理する担当者との話し合いの中で、クライアント組織のマネジメントシステム担当者が、認証監査を担当する特定の監査員を要求しました。監査プログラムを管理する担当者がどのように対応すべきかについて、以下の選択肢から2つを選んでください。

• A. 彼の要求は検討されるが、受け入れられない可能性があると述べる。
• B. 管理システム担当者に、彼の要求が受け入れられることを伝える
• C. マネジメントシステム代表者が別の認証機関を選択することを提案する
• D. 認証機関の管理者にリクエストの許可を求めることを提案します
• E. 監査チームの選定は、利用可能なリソースに基づいて監査プログラムマネージャーが決定する必要がある事項であることを、マネジメントシステム担当者に伝える。