シナリオ4：SendPayは、代理店や金融機関のネットワークを通じてサービスを提供する金融会社です。主なサービスの1つは、世界規模での送金です。SendPayは新興企業として、顧客に最高品質のサービスを提供することを目指しています。国際送金サービスを提供しているため、顧客には、身元情報、送金の目的、その他送金に必要な詳細情報などの個人情報の提供を求めています。そのため、SendPayは、発生する可能性のある情報セキュリティ上の脅威を検出、調査、対応することを含め、顧客の情報を保護するためのセキュリティ対策を実施しています。安全なサービスを提供するという同社の取り組みは、ISMSの導入にも反映されており、同社は多くの時間とリソースを投資しました。
昨年、SendPayはスマートフォンやノートパソコンなどの電子機器を介して、追加料金なしで送金・受金ができるデジタルプラットフォームを発表しました。このプラットフォームにより、SendPayの顧客はいつでもどこからでも送金・受金を行うことができます。このデジタルプラットフォームは、SendPayの業務効率化と事業拡大に貢献しました。当時、SendPayはソフトウェア開発業務を外部委託していたため、このプロジェクトは委託先の企業のソフトウェア開発チームによって完了しました。
同じチームがSendPayの技術インフラの維持管理も担当していた。
最近、同社はISMS(情報セキュリティマネジメントシステム)を導入してからほぼ1年が経過した時点で、ISO/IEC 27001認証の申請を行った。同社は自社の基準に合致する認証機関と契約を締結した。その後まもなく、認証機関はSendPayのISMSを監査するために4名の監査員からなるチームを任命した。
監査の過程で、とりわけ以下の状況が確認された。
1. アウトソーシング先のソフトウェア会社が、事前の通知なしにSendPayとの契約を解除しました。その結果、SendPayはサービスをすぐに社内に戻すことができず、業務が5日間中断しました。監査人はSendPayの担当者に対し、契約解除の場合の対応計画を示す証拠を提出するよう求めました。担当者は文書による証拠は提出しませんでしたが、面談の中で、SendPayの経営陣が、同様の事態が再び発生した場合にすぐにサービスを提供できる他の2つのソフトウェア開発会社を特定したと監査人に伝えました。
2. ソフトウェア開発会社に委託された業務の監視に関する証拠は入手できませんでした。SendPayの担当者は、ソフトウェア開発会社とは定期的に連絡を取り合っており、起こりうる変更について適切に情報提供を受けていると、監査担当者に改めて説明しました。
3.ファイアウォールのテスト中に不適合は発見されませんでした。監査担当者は、これらのサービスによって提供されるセキュリティレベルを判断するために、ファイアウォール構成をテストしました。パケットアナライザーを使用してファイアウォールポリシーをテストし、送受信されるパケットをリアルタイムで確認しました。
このシナリオに基づいて、次の質問に答えてください。
観察された3つ目の状況についてですが、監査担当者自身がSendPayのネットワークに実装されているファイアウォールの設定をテストしました。この状況をどのように説明しますか？シナリオ4を参照してください。

• A. 許容範囲内であり、技術プロセスの運用を検証するためには技術的証拠が必要である。
• B. 不適切。監査員はシステムまたは機器構成のテストを観察するだけでよく、システム自体をテストしてはならない。
• C. 不適切。ファイアウォール構成は、システムの動作に影響を与える可能性があるため、監査中にテストすべきではありません。

あなたは、医療サービスを提供する高齢者向け介護施設でISMS監査を実施しています。監査計画の次のステップは、情報セキュリティインシデント管理プロセスを検証することです。ITセキュリティマネージャーは、情報セキュリティインシデント管理手順(文書参照ID：ISMS_L2_16、バージョン4)を提示し、このプロセスがISO/IEC 27035-1:2016に基づいていることを説明します。
文書を確認すると、「情報セキュリティ上の弱点、事象、およびインシデントは、特定後1時間以内に連絡担当者(PoC)に報告しなければならない」という記述が見つかりました。スタッフにインタビューしたところ、「弱点、事象、およびインシデント」の意味について、理解に違いがあることがわかりました。
ITセキュリティマネージャーは、6か月前にオンラインの「情報セキュリティ対応」研修セミナーが実施されたと説明した。インタビューを受けた全員が、報告書作成演習とコース評価に参加し、合格した。
あなたは監査結果を準備しています。正しい選択肢を2つ選んでください。

• A. 改善の余地があります(OFI)。情報セキュリティ上の弱点、事象、およびインシデントが報告されています。これは条項9.1および管理策A.5.24に関連しています。
• B. 改善の余地があります(OFI)。情報セキュリティインシデント対応トレーニングの効果を改善できます。これは、条項7.2および管理策A.6.3に関連しています。
• C. 不適合(NC)があります。インシデント管理報告プロセスの用語が不明確であり、スタッフが「弱点、事象、インシデント」の意味を誤解していることが示されています。これは条項9.1および管理A.5.24に適合していません。
• D. 不適合(NC)があります。情報セキュリティインシデント研修が不合格でした。これは条項7.2および管理A.6.3に適合していません。
• E. 不適合事項はありません。情報セキュリティ対応研修は効果的でした。これは条項7.2および管理A.6.3に適合しています。
• F. 不適合はありません。情報セキュリティの弱点、事象、およびインシデントが報告されています。これは条項9.1および管理A.5.24に準拠しています。

シナリオ6：Sinvestmentは、住宅保険、商業保険、生命保険を提供する保険会社です。同社はノースカロライナ州で設立されましたが、近年、ヨーロッパやアフリカを含む他の地域にも事業を拡大しています。
Sinvestmentは、業界に適用される法令を遵守し、情報セキュリティインシデントの発生を防止することに尽力しています。同社はISO/IEC 27001に基づく情報セキュリティマネジメントシステム(ISMS)を導入し、ISO/IEC 27001認証の取得を申請しています。
認証機関は2名の監査員を任命し、監査を実施させた。監査員はSinvestment社と機密保持契約を締結した後、監査活動を開始した。まず、ISMSの適用範囲宣言書、情報セキュリティポリシー、内部監査報告書など、規格で要求される文書を精査した。Sinvestment社は文書化手順を定めていると述べていたものの、すべての文書が同じ形式ではなかったため、精査は容易ではなかった。
その後、監査チームはSinvestmentの経営陣に対し、ISMS導入における彼らの役割を理解するため、複数回のインタビューを実施した。第1段階監査の活動はすべてリモートで実施されたが、文書情報のレビューはSinvestmentの要請により現地で行われた。
この段階で、監査担当者は情報セキュリティ研修および啓発プログラムに関する文書が存在しないことを発見しました。質問に対し、Sinvestmentの担当者は、全従業員に情報セキュリティ研修を実施済みであると回答しました。第1段階の監査により、監査チームはSinvestmentの業務内容とISMSの概要を把握することができました。
第2段階監査は、第1段階監査の3週間後に実施されました。監査チームは、マーケティング部門(監査範囲外)において、従業員のアクセス権限を管理するための手順が整備されていないことを確認しました。従業員のアクセス権限の管理はISO/IEC 27001の要求事項の一つであり、同社の情報セキュリティポリシーにも含まれていたため、この問題は監査報告書に記載されました。さらに、第2段階監査において、監査チームはSinvestment社がユーザーアクティビティのログを記録していないことも確認しました。
同社の手順書には「ユーザー活動を記録し、定期的に確認するログを保持すること」と記載されていたが、同社はそのような手順が実施されていることを示す証拠を一切提示しなかった。
監査活動全体を通して、監査員は観察、インタビュー、文書情報のレビュー、分析、および技術検証を用いて情報と証拠を収集しました。第1段階と第2段階におけるすべての監査結果が分析され、監査チームは認証に関する肯定的な勧告を行うことを決定しました。
第1段階の監査において、監査チームはSinvestmentが情報セキュリティ研修および意識向上に関する記録を保有していないことを発見しました。この場合、Sinvestmentはどのような対応を取るべきでしょうか？シナリオ6を参照してください。

• A. ステージ2監査の前に、特定された問題を修正してください。
• B. 新たなリスク評価プロセスを実施し、問題の修正が必要かどうかを理解する。
• C. 特定された問題点を文書化し、認証監査完了後に修正する。

シナリオ1：Fintiveは、オンライン決済および保護ソリューションを提供する著名なセキュリティプロバイダーです。1999年にトーマス・フィンによってカリフォルニア州サンノゼで設立されたFintiveは、オンラインで事業を展開し、情報セキュリティの向上、不正行為の防止、個人情報などのユーザー情報の保護を希望する企業にサービスを提供しています。Fintiveは、過去の事例に基づいて意思決定と運用プロセスを構築しています。顧客データを収集し、事例に応じて分類し、分析します。このような複雑な分析を行うには、多くの従業員が必要でした。しかし、数年後、このような分析を支援する技術も進歩しました。現在、Fintiveは、リアルタイムでの不正防止に向けたパターン分析を実現するために、チャットボットという最新ツールの使用を計画しています。このツールは、顧客サービスの向上にも活用される予定です。
この最初のアイデアはソフトウェア開発チームに伝えられ、彼らはそれを支持してこのプロジェクトを担当することになった。彼らは既存のシステムにチャットボットを統合し始めた。さらに、チームはチャットボットに関して、すべてのチャット問い合わせの85%に回答するという目標を設定した。
チャットボットの統合が成功した後、同社は直ちに顧客向けにチャットボットをリリースし、利用を開始させた。
しかし、そのチャットボットにはいくつか問題があったようだ。
トレーニング段階で、チャットボットがクエリのパターンを「学習」するはずだったにもかかわらず、テストが不十分でサンプルデータが不足していたため、チャットボットはユーザーのクエリに対応できず、適切な回答を提供できませんでした。さらに、チャットボットは、ドットの奇妙なパターンや特殊文字などの無効な入力を受け取ると、ユーザーにランダムなファイルを送信しました。そのため、チャットボットは顧客のクエリに適切に回答できず、従来のカスタマーサポートはチャットによる問い合わせで溢れかえり、顧客の要望に応えることができませんでした。
そのため、Fintiveはソフトウェア開発ポリシーを策定した。このポリシーでは、ソフトウェアが社内で開発されるか外部委託されるかにかかわらず、運用システムに導入する前にブラックボックステストを実施することを規定した。
シナリオ1によると、チャットボットは無効な入力を受け取った際に、ユーザーにランダムなファイルを送信しました。これはどのような影響をもたらす可能性がありますか？

• A. 機密情報の漏洩
• B. 評判の失墜
• C. サービス提供不可