PECB ISO-IEC-27001-Lead-Auditor日本語 Exam Questions : PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor日本語版)

シナリオ1：Fintiveは、オンライン決済および保護ソリューションを提供する著名なセキュリティプロバイダーです。1999年にトーマス・フィンによってカリフォルニア州サンノゼで設立されたFintiveは、オンラインで事業を展開し、情報セキュリティの向上、不正行為の防止、個人情報などのユーザー情報の保護を希望する企業にサービスを提供しています。Fintiveは、過去の事例に基づいて意思決定と運用プロセスを構築しています。顧客データを収集し、事例に応じて分類し、分析します。このような複雑な分析を行うには、多くの従業員が必要でした。しかし、数年後、このような分析を支援する技術も進歩しました。現在、Fintiveは、リアルタイムでの不正防止に向けたパターン分析を実現するために、チャットボットという最新ツールの使用を計画しています。このツールは、顧客サービスの向上にも活用される予定です。
この最初のアイデアはソフトウェア開発チームに伝えられ、彼らはそれを支持してこのプロジェクトを担当することになった。彼らは既存のシステムにチャットボットを統合し始めた。さらに、チームはチャットボットに関して、すべてのチャット問い合わせの85%に回答するという目標を設定した。
チャットボットの統合が成功した後、同社は直ちに顧客向けにチャットボットをリリースし、利用を開始させた。
しかし、そのチャットボットにはいくつか問題があったようだ。
トレーニング段階で、チャットボットがクエリのパターンを「学習」するはずだったにもかかわらず、テストが不十分でサンプルデータが不足していたため、チャットボットはユーザーのクエリに対応できず、適切な回答を提供できませんでした。さらに、チャットボットは、ドットの奇妙なパターンや特殊文字などの無効な入力を受け取ると、ユーザーにランダムなファイルを送信しました。そのため、チャットボットは顧客のクエリに適切に回答できず、従来のカスタマーサポートはチャットによる問い合わせで溢れかえり、顧客の要望に応えることができませんでした。
そのため、Fintiveはソフトウェア開発ポリシーを策定した。このポリシーでは、ソフトウェアが社内で開発されるか外部委託されるかにかかわらず、運用システムに導入する前にブラックボックステストを実施することを規定した。
シナリオ1によると、チャットボットは無効な入力を受け取った際に、ユーザーにランダムなファイルを送信しました。これはどのような影響をもたらす可能性がありますか？

• A. サービス提供不可
• B. 機密情報の漏洩
• C. 評判の失墜

シナリオ8：EsBankは9月からエストニアの銀行業界に銀行および金融ソリューションを提供している。
2010年現在、同社は全国に30の支店と100台以上のATMを展開している。
規制の厳しい業界で事業を展開するEsBankは、データのセキュリティとプライバシーに関する多くの法律や規制を遵守しなければなりません。技術的および非技術的な管理策を実施することで、事業運営全体にわたって情報セキュリティを管理する必要があります。EsBankは、ISO/IECに基づいたISMSを導入することを決定しました。
27001を選んだのは、より優れたセキュリティ、より高度なリスク管理、そして法律や規制の主要要件への準拠を実現できたからです。
ISMSの導入が成功してから9か月後、EsBankはISO/IEC 27001に準拠したISMSの認証を独立した認証機関に依頼することを決定した。認証監査は、EsBankのすべてのシステム、プロセス、およびテクノロジーを対象とした。
第1段階と第2段階の監査は合同で実施され、いくつかの不適合が発見された。最初の不適合は、EsBankの情報ラベル付けに関するものであった。同社は情報分類体系は持っていたものの、情報ラベル付けの手順がなかった。そのため、同じレベルの保護を必要とする文書でも、異なるラベルが付けられていた(機密文書の場合もあれば、機密性の高い文書の場合もあった)。
すべての文書が電子的に保存されていたことを考慮すると、この不適合はメディアの取り扱いにも影響を与えた。監査チームはサンプリング調査を行い、200個のリムーバブルメディアのうち50個に、機密情報として誤って分類された機密情報が保存されていたと結論付けた。情報分類体系によれば、機密情報はリムーバブルメディアに保存することが許可されているが、機密情報は厳しく禁止されている。これがもう一つの不適合事項となった。
彼らは不適合報告書を作成し、監査結果についてEsBankの担当者と協議した。担当者は、検出された不適合事項に対する改善計画を2か月以内に提出することに同意した。
EsBankは監査チームリーダーの提案した解決策を受け入れた。物理フォーマットと電子フォーマットの両方に対応した分類体系に基づく情報表示手順書を作成することで、不適合事項を解決した。リムーバブルメディアの手順書もこの手順書に基づいて更新された。
監査完了から2週間後、EsBankは一般的な改善計画を提出した。その中で、検出された不適合事項と講じた是正措置について説明したが、影響を受けたシステム、統制、または業務に関する詳細は含まれていなかった。監査チームは改善計画を評価し、不適合事項は解決されると結論付けた。しかしながら、EsBankは認証に関して不利な勧告を受けた。
上記のシナリオに基づいて、次の質問に答えてください。
EsBankは情報表示の手順を策定することにより、以下のことを実現しました。

• A. 不適合を解決するための行動計画を提出しました
• B. 不適合の根本原因を排除した
• C. 情報分類体系を作成した

シナリオ6：Cyber​​ ACryptは、マルウェア対策、デバイスセキュリティ、資産ライフサイクル管理、デバイス暗号化を提供することでエンドポイント保護を実現するサイバーセキュリティ企業です。同社は、ISO/IEC 27001に準拠したISMSの検証と、サイバーセキュリティにおける卓越性への取り組みを示すため、任命された監査チームリーダーであるジョンが主導する綿密な監査プロセスを受けました。
監査の委任を受諾すると、ジョンはすぐに監査計画とチームの役割を概説する会議を組織しました。この段階は、チームを監査の目的と範囲に合わせるために重要でした。しかし、サイバーアクリプトのスタッフへの最初のプレゼンテーションでは、監査の範囲と目的の理解に大きなギャップがあることが明らかになり、社内での準備上の潜在的な課題が示されました。ステージ1の監査が開始されると、チームはオンサイト活動の準備を行いました。彼らは、サイバー アクリプトの情報セキュリティ ポリシーと運用手順を含む文書化された情報をレビューし、各文書が準拠し、作成者識別、作成日、バージョン番号、承認日を含む形式で標準化されていることを確認しました。さらに、監査チームは、各文書に標準のそれぞれの条項で要求される情報が含まれていることを確認しました。このフェーズでは、タスクの実行を説明する文書の詳細な監査は不要であることが明らかになり、プロセスが合理化され、チームの努力が重要な領域に集中しました。オンサイト活動を実施するフェーズでは、チームはサイバー アクリプトのポリシーに対する管理責任を評価しました。この徹底的な調査は、継続的な改善と ISMS 要件への準拠を確認することを目的としていました。その後、文書の第 1 段階監査出力フェーズで、監査チームは調査結果を綿密に文書化し、第 1 段階の目標の達成に関する結論を強調しました。この文書は、監査チームとサイバー アクリプトが予備監査の結果と注意が必要な領域を理解するために不可欠でした。
監査チームは、主要な関係者へのインタビューを実施することも決定した。この決定は、マネジメントシステムのISO準拠を検証するための確固たる監査証拠を収集するという目的に基づいている。
/IEC 27001の要求事項。サイバーACryptのさまざまなレベルの関係者と連携することで、監査チームはISMSの実装と有効性に関する貴重な視点と理解を得ることができました。
第1段階の監査報告書では、重大な懸念事項が明らかになった。適用範囲宣言書(SoA)とISMSポリシーには、リスク評価の不足、アクセス制御の不備、定期的なポリシー見直しの欠如など、いくつかの点で不備が見つかった。これを受け、Cyber​​ ACryptはこれらの不備に対処するため、直ちに行動を起こした。迅速な対応と戦略文書の修正は、コンプライアンス達成への強いコミットメントを示すものであった。
監査チームのサイバーセキュリティに関する知識のギャップを埋めるために導入された技術専門家は、リスク評価方法論の欠陥を特定し、ネットワークアーキテクチャをレビューする上で極めて重要な役割を果たしました。これには、ファイアウォール、侵入検知・防御システム、その他のネットワークセキュリティ対策の評価、およびCyber​​ ACryptが外部および内部の脅威をどのように検知、対応、復旧するかの評価が含まれていました。ジョンの監督の下、技術専門家は監査結果をCyber​​ ACryptの担当者に伝えました。しかし、監査チームは、専門家が被監査企業からコンサルティング料を受け取っていたため、客観性が損なわれていた可能性があることに気づきました。監査中の技術専門家の行動を考慮し、監査チームリーダーはこの懸念について認証機関と話し合うことにしました。
上記のシナリオに基づいて、次の質問に答えてください。
質問：
監査チームによって検証されなかった、文書化された情報を評価するための基準はどれですか？(シナリオ6を参照)

• A. 文書化された情報の管理手順
• B. 文書化された情報の形式
• C. 文書化された情報の内容

以下の文を最も適切に完成させる語句を選び、第三者監査計画について説明してください。
文を完成させるには、空欄部分をクリックして赤色にハイライト表示させ、下の選択肢から該当するテキストをクリックしてください。または、選択肢を適切な空欄部分にドラッグ＆ドロップすることもできます。

質問
ISO/IEC 27001の認証を受けたソフトウェア開発会社であるXYZ社は、認証取得から1年後、予定されているサーベイランス監査を受ける準備ができていないため、監査を拒否すると認証機関に通知しました。この状況における直接的な結果は何でしょうか？

• A. 認証は停止されています
• B. 現在の認証は次回の監視監査まで有効です
• C. 会社は、別の認証機関への正式な認証移管手続きを開始しなければならない。