問59

ISMSにおける内部監査は、JIS Q 27001の要求事項および組織自体が規定した要求事項によって定めた監査基準への適合性を確認するだけでなく、ISMSの活動が組織に対して有効に機能しているかどうかも判定します。したがってアが正解です。イ(JIS Q 27001の要求事項ではなく組織自体が規定した要求事項を監査基準とする)は、規格の要求事項も監査基準に含めるべきであり誤りです。ウ(内部監査のプログラム確立時に前回の結果を考慮しない)は、前回の監査結果や対象プロセスの重要性を考慮すべきという原則に反します。エ(不定期かつ抜き打ちでの実施を原則とする)は、内部監査は計画的に実施するのが原則であり誤りです。適合性と有効性の両面を判定する点が正解アの要点です。ISMSと情報セキュリティポリシー