ITパスポート 過去問
令和7年度
問59 (テクノロジ系 問4)

ISMSの内部監査は、ISMSの継続的な改善のために選択肢のとおりの役割を持っています。

そのため本選択肢が正解です。

ISMSの内部監査の監査基準は、JIS Q 27001の全ての要求事項が含む必要があります。

組織自体が規定した要求事項を追加してもかまいません。

そのため本選択肢は不正解です。

指摘事項や改善活動の進捗状況などの前回の内部監査の結果を考慮しなければなりません。

過去に指摘を受けた問題点が改善されているか確認できたり、重点的に監査する必要がある事項を特定するためです。

そのため本選択肢は不正解です。

内部監査は原則として計画に基づき定期的に実施されます。

抜き打ちの監査もありえますが、原則ではありません。

そのため本選択肢は不正解です。

これが適切です。

不適切。JIS Q 27001の要求事項も監査対象です。

不適切。前回までの監査結果も考慮する必要があります。

不適切。定期的な実施が原則です。

ISMSは、ただ「JIS Q 27001」に合わせて取り決めれば良いというものではありません。

「JIS Q 27001」に基づいた上で自社の企業活動において重要となるセキュリティ対策を実践することがISMSの目的です。

その実践が正しく行われているか、狙った効果がえらえているか（有用性）をチェックするために内部監査を実施します。（正解）

前述した通り、ISMSは「JIS Q 27001」を基準に取り決められるものです。

よって、その基で行われる内部監査も「JIS Q 27001」の要求事項を満たしている必要があります。

前回の監査結果で見つかった改善点について対策が行われているかをチェックするため、

前回の監査結果も判断材料として考慮する必要があります。

「JIS Q 27001」では、監査の実施体系について抜き打ちを原則とはしていません。

実際には、被監査部門と監査計画を共有した上で実施されます。