令和7年度 ITパスポート 問59（テクノロジ）
出典：令和7年度 ITパスポート試験 公開問題 問59（独立行政法人情報処理推進機構（IPA））
ISMSにおける内部監査に関する記述のうち，適切なものはどれか。
- アJIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく，ISMS活動の組織に対する有効性も判定する。
- イJIS Q 27001の要求事項ではなく，組織自体が規定した要求事項を監査基準とする。
- ウ内部監査の実施のためのプログラムを確立するときには，前回の内部監査の結果は考慮しない。
- エ不定期かつ抜き打ちでの実施を原則とする。
正解と解説を見る
正解：ア
【ISMSの内部監査】
ISMS（Information Security Management System、情報セキュリティマネジメントシステム）の要求事項を定めたJIS Q 27001では、組織は、あらかじめ定めた間隔で内部監査を行うことを求めています。内部監査では、次の点を確かめます。
・ISMSが、組織自体が定めた要求事項と、JIS Q 27001の要求事項に適合しているか
・ISMSが有効に実施され、維持されているか
また、監査の頻度や方法などを定めた監査プログラムを作るときは、対象のプロセスの重要性と、前回までの監査の結果を考慮しなければなりません。
【選択肢の検討】
ア：要求事項への適合性だけでなく、ISMSが組織にとって有効に機能しているかも判定するので、適切です。
イ：監査の基準には、組織自体が定めた要求事項だけでなく、JIS Q 27001の要求事項も含めます。
ウ：監査プログラムを確立するときは、前回までの監査の結果を考慮します。
エ：内部監査は、あらかじめ定めた間隔で計画的に行います。不定期の抜き打ちを原則とするものではありません。
よって、正解は選択肢アです。