質問：
以下の状況のうち、どれが脅威を表していますか？

• A. 組織がクラウドサービスに多要素認証(MFA)を導入していない
• B. 従業員が正規の認証情報を使用して不正なファイルにアクセスした
• C. サイバー攻撃者は、組織のファイアウォールソフトウェアのゼロデイ脆弱性を悪用してネットワークに侵入した。

シナリオ3
米国に本社を置く多国籍テクノロジー企業であるNightCoreは、電子商取引、クラウドコンピューティング、デジタルストリーミング、人工知能(AI)を専門としています。NightCoreは、情報セキュリティマネジメントシステム(ISMS)を導入してから1年以上経過した後、ISO/IEC 27001認証取得のための監査を実施するため、認証機関と契約しました。
認証機関は、ジャックをチームリーダーとする5名の監査員からなるチームを編成した。ジャックは、リスク管理、情報セキュリティ対策、インシデント管理における豊富な監査経験で知られている。
彼のスキルセットは監査の原則とプロセスの要件によく合致しており、監査範囲を効果的に理解し、関連する基準を的確に適用することができます。また、ジャックはナイトコアの組織構造、目的、経営慣行、そしてその活動に適用される法令および規制要件についても確かな理解を示しています。
監査チームが実施した監査は、信頼性が高く再現性のある結論を体系的に導き出すために、合理的な方法に従って行われました。監査チームは、ある程度検証可能な情報のみが有効な証拠とみなされるべきであることを認識していました。監査中に、特定の情報の検証が困難であったり、検証可能性が低かったりする稀なケースでは、監査人は専門的な判断に基づき、その証拠の信頼性を評価し、どの程度の信頼を置くことができるかを判断しました。
監査中、監査担当者は、NightCore社のISMS運用における運用計画および管理に関する所見と検査メモを記録しました。また、NightCore社の情報資産および関連資産のインベントリに関する所見も記録しました。さらに、ネットワークサービスへの接続を保護するために実装されたファイアウォールの構成についても確認しました。
監査が最終段階に近づくにつれ、NightCoreが最高レベルの情報セキュリティを維持するという強い意志を持っていることが明らかになりました。ISO/IEC 27001認証取得が目前に迫る中、NightCoreはISO/IEC 27001認証取得に向けて万全の態勢を整えており、テクノロジー業界における同社の評判をさらに高めることになるでしょう。
質問
ジャックは監査人として必要な知識とスキルを備えているか？シナリオ3を参照のこと。

• A. いいえ、ジャックの経験は監査のごく一部の分野に限られており、十分ではありません。
• B. はい、それはジャックが組織の構造と経営慣行を理解しているからです。
• C. はい、ジャックは監査人として必要な知識とスキルを備えています。

以下のフレーズのうち、「監査目的」に当てはまるものはどれですか？(2つ選択可)

• A. 経営方針の見直し
• B. 監査期間
• C. 監査人の能力
• D. 必要に応じて改善の機会を特定する
• E. 法令遵守状況の確認
• F. 適合性の判定

認証機関の監査プログラムを管理する担当者との話し合いの中で、クライアント組織のマネジメントシステム担当者が、認証監査を担当する特定の監査員を要求しました。監査プログラムを管理する担当者がどのように対応すべきかについて、以下の選択肢から2つを選んでください。

• A. 彼の要求は検討されるが、受け入れられない可能性があると述べる。
• B. 監査チームの選定は、利用可能なリソースに基づいて監査プログラムマネージャーが決定する必要がある事項であることを、マネジメントシステム担当者に伝える。
• C. マネジメントシステム代表者が別の認証機関を選択することを提案する
• D. 管理システム担当者に、彼の要求が受け入れられることを伝える
• E. 認証機関の管理者にリクエストの許可を求めることを提案します