シナリオ1
Fintiveは、オンライン決済およびセキュリティソリューションを専門とする、定評のあるセキュリティプロバイダーです。1999年にトーマス・フィンによってカリフォルニア州サンノゼで設立されたFintiveは、情報セキュリティの向上、不正行為の防止、個人情報(PII)などのユーザー情報の保護を目指すオンライン企業向けにサービスを提供しています。
Fintiveは、過去の事例に基づいて意思決定および業務プロセスを構築しており、顧客データを収集し、事例に応じて分類し、分析している。
当初、Fintiveはこのような複雑な分析を行うために、多数の従業員を必要としていた。
しかし、技術の進歩に伴い、同社はリアルタイムでの不正防止を目的としたパターン分析を実現するために、チャットボットという最新ツールを導入する機会を見出した。このツールは、顧客サービスの向上にも役立つだろう。
当初のアイデアはソフトウェア開発チームに伝えられ、彼らはこの取り組みを支持し、プロジェクトへの参加を割り当てられた。彼らはチャットボットを既存のシステムに統合し始め、チャットボットに関する目標として、すべてのチャット問い合わせの85%に回答することを設定した。
チャットボットの統合に成功した後、同社は顧客向けにリリースしました。しかし、チャットボットにはいくつかの問題がありました。十分なテストが行​​われず、クエリパターンを学習するはずのトレーニング段階でサンプルデータが提供されなかったため、チャットボットはユーザーのクエリに効果的に対応できませんでした。さらに、ドットの異常なパターンや特殊文字などの無効な入力に遭遇すると、ランダムなファイルをユーザーに送信してしまいました。
その結果、チャットボットは顧客からの問い合わせに効果的に対応できず、従来のカスタマーサポートに過負荷をかけ、顧客からの要望への対応を妨げてしまった。
潜在的なリスクを認識したFintiveは、一連の新たな管理策を導入することを決定しました。これらの対策には、包括的な監査ログの有効化、異常なアクティビティを検知する自動アラートシステムの構成、定期的なアクセスレビューの実施、およびシステム動作の異常監視が含まれます。その目的は、不正アクセス、エラー、または疑わしいアクティビティをタイムリーに特定し、重大な損害が発生する前に潜在的な問題を迅速に認識して調査できるようにすることでした。
質問
シナリオ1によると、チャットボットの問題によって生じる可能性のある影響は次のうちどれですか？

• A. チャットボットの不具合により、カスタマーサービスの応答時間に若干の遅延が生じています。
• B. 機密ファイルの漏洩の可能性による顧客プライバシーの侵害
• C. 内部システムアップデートの一時的な遅延が発生していますが、ユーザーへの影響はありません。

質問
X社における認証監査の際、監査チームリーダーは、一部の人事プロセスが監査範囲から除外されていることに気づいた。しかし、これらのプロセスは同社のISMS(情報セキュリティマネジメントシステム)の監査範囲に含まれている。
これは許容範囲でしょうか？

• A. はい、監査範囲にはIT関連のプロセスのみを含める必要があります。
• B. いいえ、ISMSの範囲に記載されているすべてのプロセスは監査を受ける必要があります。
• C. はい、監査プログラムと目的に合致していれば、監査範囲はISMSの範囲よりも狭くすることができます。

シナリオ5
Cyber​​Shielding Systems Inc.は、情報技術インフラ全体にわたるセキュリティサービスを提供しています。エンドポイントセキュリティ、ファイアウォール、ウイルス対策ソフトウェアなど、サイバーセキュリティソフトウェアを提供しています。Cyber​​Shielding Systems Inc.は、20年以上にわたり、高度な製品とサービスを通じて様々な企業のネットワークセキュリティ強化を支援してきました。情報およびネットワークセキュリティ分野で高い評価を得たCyber​​Shielding Systems Inc.は、ISO/IEC 27001に基づくセキュリティ情報管理システム(ISMS)を導入し、認証を取得することで、自社および顧客の資産をより安全に保護し、競争優位性を獲得することを決定しました。
認証機関は、Cyber​​Shielding Systems Inc.のISO認証のための監査チームを選定することでプロセスを開始した。
IEC 27001認証に関して、認証機関は各監査員の氏名と経歴情報を同社に提供しました。しかし、Cyber​​Shielding Systems Inc.が確認したところ、監査員の1人が認証機関が要求するセキュリティクリアランスを保持していないことが判明しました。そのため、同社はこの監査員の任命に異議を申し立てました。認証機関は、Cyber​​Shielding Systems Inc.の異議申し立てを受けて、審査の結果、当該監査員を交代させました。
監査プロセスの一環として、Cyber​​Shielding Systems Inc.のリスクおよび機会の特定に関するアプローチが独立した活動として評価されました。これには、組織のリスクおよび機会の特定と管理方法を検証することが含まれていました。監査チームの主要な目的は、Cyber​​Shielding Systems Inc.のリスクおよび機会の特定メカニズムの有効性を保証すること、および特定されたリスクおよび機会に対処するための組織の戦略をレビューすることでした。この過程で、監査チームはファイアウォール構成レビュープロセスにおける監督の不備に起因するリスクも特定しました。このプロセスでは、適切な承認なしに変更が実施され、会社が脆弱性にさらされる可能性がありました。この発見は、このような問題を防止するためのより強力な内部統制の必要性を浮き彫りにしました。
監査チームは、主要な業務プロセスと統制を理解するために、プロセス記述書と組織図を参照しました。サードパーティのサービスプロバイダーの制限によりITインフラストラクチャとアプリケーションへのアクセスが制限されていたため、ITリスクと統制に関する分析は限定的なものとなりました。しかし、監査チームは、サイバーシールド社のISMSにおいて重大な欠陥が発生するリスクは低いと判断しました。これは、同社のプロセスのほとんどが自動化されているためです。そこで、監査チームは、サイバーシールド社の担当者に対し、IT責任、統制の有効性、マルウェア対策について質問し、ISMS全体が標準要件に適合していると評価しました。サイバーシールド社の担当者は、これらの質問すべてに十分かつ適切な証拠を提供しました。
監査前に締結された、監査の範囲、基準、目的を概説した合意書にもかかわらず、監査は主に、確立された基準への適合性を評価し、法令および規制要件への準拠を確保することに重点が置かれた。
質問
監査チームはどのような監査リスクを特定しましたか？シナリオ5を参照してください。

• A. 固有のリスク
• B. リスク管理
• C. 検出リスク

あなたは、医療サービスを提供する高齢者介護施設(ABC)でISMS監査を実施しています。監査計画の次のステップは、ABCの医療用モバイルアプリの開発、サポート、ライフサイクルプロセスの情報セキュリティを検証することです。監査中に、組織がモバイルアプリの開発をCMMIレベル5、ITSM(ISO/IEC 20000-1)、BCMS(ISO)の認証を受けた専門ソフトウェア開発会社にアウトソーシングしていることがわかりました。
22301)と
ISMS(ISO/IEC 27001)認証取得済み。
ITマネージャーはソフトウェアセキュリティ管理手順について説明し、そのプロセスを以下のように要約した。
モバイルアプリの開発においては、最低限、「設計段階からのセキュリティ」および「デフォルト設定からのセキュリティ」の原則を採用しなければならない。
個人データ保護のための以下のセキュリティ機能が利用可能である。
アクセス制御。
個人データの暗号化、すなわち、高度暗号化標準(AES)アルゴリズム、鍵長：256ビット。および個人データの匿名化。
脆弱性チェック済み、セキュリティバックドアなし
最新のモバイルアプリテストレポートをサンプルとしてご紹介します。詳細は以下のとおりです。

ITマネージャーは、ソフトウェアセキュリティ管理手順に従って、テスト結果を承認する必要があると説明しました。暗号化機能と匿名化機能が失敗した理由は、これらの機能がシステムとサービスのパフォーマンスを著しく低下させたためです。これを補うには、通常の150%のリソースを追加で確保する必要があります。サービスマネージャーは、アクセス制御は十分かつ許容範囲内であると判断しました。そのため、サービスマネージャーが承認書に署名しました。
監査結果を準備しています。正しい選択肢を選んでください。

• A. 不適合(NC)はありません。サービスマネージャーはサービスを継続するという適切な判断を下しました。
  (条項8.1、管理A.8.30に関連)
• B. 不適合(NC)があります。サービスマネージャーはソフトウェアセキュリティ管理手順を遵守していません。(条項8.1、管理A.8.30に関連)
• C. 不適合(NC)があります。組織および開発者は受入試験を実施していません。
  (条項8.1、管理A.8.29に関連)
• D. 不適合(NC)があります。組織と開発者が実施したセキュリティテストが不合格でした。
  (条項8.1、管理A.8.29に関連)