質問
ISO/IEC 27001認証監査において、監査チームリーダーは確立された監査実施のためのベストプラクティスに従わなかった。さらに、ISMSの複雑な領域を評価するために必要な専門知識が不足していたため、最適な結果が得られなかった。監査結果は報告されたものの、監査の一部領域は不十分であり、監査は要求された手順に完全に準拠していないと判断された。
このシナリオは、不法行為の場合、どの程度の責任を伴うものと言えるでしょうか？

• A. 通常の過失
• B. 重大な過失
• C. 過失なし

シナリオ2：ナイト社は、米国カリフォルニア州北部に拠点を置く、ビデオゲーム機を開発する電子機器メーカーです。ナイト社は世界中に300名以上の従業員を抱えています。創業5周年を機に、同社は世界市場をターゲットとした新世代ビデオゲーム機「G-Console」の発売を決定しました。G-Consoleは、プレイヤーに最高のゲーム体験を提供する、2021年を代表する究極のメディアマシンと位置づけられています。
コンソールパックには、VRヘッドセット2個、
ゲームやその他の贈り物。
長年にわたり、同社は誠実さ、正直さ、そして顧客への敬意を示すことで高い評価を築いてきました。この高い評価こそが、多くの熱心なゲーマーがKnightのGコンソールを発売と同時に手に入れようとする理由の一つです。
ナイト社は顧客志向の企業であることに加えて、
また、その品質の向上により、ゲーム業界内で広く認知されるようになった。ただし、価格は妥当な基準からするとやや高めである。
とはいえ、ナイト社の製品の品質は最高レベルであるため、ほとんどの常連客にとっては問題とはみなされていない。
世界有数のビデオゲーム機開発企業であるナイト社は、悪意のある活動の標的となることも少なくありません。同社は1年以上前からISMS(情報セキュリティマネジメントシステム)を運用しています。ISMSの適用範囲は、財務部門と人事部門を除くナイト社の全部門に及びます。
最近、ナイト社の機密情報を含む複数のファイルがハッカーによって流出しました。ナイト社のインシデント対応チーム(IRT)は直ちにシステム全体と事件の詳細の分析を開始しました。
IRT(情報調査チーム)は当初、ナイト社の従業員が脆弱なパスワードを使用していたため、ハッカーに容易に突破され、アカウントに不正アクセスされたのではないかと疑った。しかし、事件を綿密に調査した結果、ハッカーはファイル転送プロトコル(FTP)の通信を傍受することでアカウントにアクセスしていたことが判明した。
FTPは、アカウント間でファイルを転送するためのネットワークプロトコルです。認証には平文のパスワードを使用します。
この情報セキュリティインシデントの影響を受け、IRTの提案を受けて、ナイト社はFTPをセキュアシェル(SSH)プロトコルに置き換えることを決定した。これにより、通信を傍受する者は暗号化されたデータしか見ることができないようになる。
これらの変更を受けて、ナイト社はリスク評価を実施し、管理策の導入によって同様の事故のリスクが最小限に抑えられたことを確認した。この評価結果はISMSプロジェクトマネージャーによって承認され、新しい管理策の導入後のリスクレベルは同社のリスク許容レベルに合致していると判断された。
このシナリオに基づいて、次の質問に答えてください。
シナリオ2に基づき、ナイト社はFTPをセキュアシェル(SSH)プロトコルに置き換えることを決定しました。この場合、適用範囲に関する声明(SoA)を更新する必要があるでしょうか？

• A. いいえ、SoAは新しいコントロールが追加された場合にのみ更新されるべきであり、古いコントロールがキャンセルされた場合には更新されるべきではないからです。
• B. はい、新しい管理策の実施は正当化され、SoAに含める必要があります。
• C. いいえ、SSHプロトコルの使用はISO/IEC 27001の要件ではないため、SoAに含める必要はありません。

あなたは、高齢者向け介護施設ABCヘルスケアサービスでISO 27001 ISMS監視監査を実施しています。ABCは、入居者の健康状態を監視するために、サプライヤーであるWeCareが設計・保守するヘルスケアモバイルアプリを使用しています。監査中に、入居者の家族の90%が、WeCareから週に1回、メールとSMSで医療機器の広告を定期的に受け取っていることが判明しました。ABCとWeCareのサービス契約では、サプライヤーが入居者の個人データを使用することを禁じています。ABCは、入居者とその家族から多くの苦情を受けています。
サービスマネージャーによると、これらの苦情は情報セキュリティインシデントとして調査され、正当な苦情であることが判明したとのことです。
不適合および是正措置管理手順に従って、是正措置が計画され、実施されました。
あなたは「ABC社は、入居者とその家族の個人データに関する情報セキュリティ管理A.5.34(プライバシーと個人情報の保護)を遵守していませんでした。サプライヤーであるWeCare社は、入居者の個人情報を使用して家族に広告を送信しました。」という不適合を記述します。この不適合に対してABC社が行うと予想される修正および是正措置を、記載されている選択肢の中から3つ選択してください。
* ABCは、サイバー犯罪に対する保護の観点から、ABCヘルスケアのモバイルアプリをテストするために、ISMSコンサルタントに依頼した。

• A. ABCは、情報セキュリティプロトコルを維持することの重要性について、全従業員に研修を実施しています。
• B. ABCはWeCareとのサービス契約を解除します。
• C. ABCは契約違反でWeCareに対して法的措置を取る。
• D. ABCは、第三者に関わるすべての適用法令および契約上の要件の遵守状況を定期的に監視します。
• E. ABCは、すべてのサプライヤーに対して情報セキュリティのパフォーマンスに関するバックグラウンドチェックを導入します。
• F. ABCは、情報セキュリティ管理A.5.34が適用範囲宣言書(SoA)に含まれていることを確認します。
• G. ABCはABCヘルスケアモバイルアプリの使用を中止します。

シナリオ8：EsBankは9月からエストニアの銀行業界に銀行および金融ソリューションを提供している。
2010年現在、同社は全国に30の支店と100台以上のATMを展開している。
規制の厳しい業界で事業を展開するEsBankは、データのセキュリティとプライバシーに関する多くの法律や規制を遵守しなければなりません。技術的および非技術的な管理策を実施することで、事業運営全体にわたって情報セキュリティを管理する必要があります。EsBankは、ISO/IECに基づいたISMSを導入することを決定しました。
27001を選んだのは、より優れたセキュリティ、より高度なリスク管理、そして法律や規制の主要要件への準拠を実現できたからです。
ISMSの導入が成功してから9か月後、EsBankはISO/IEC 27001に準拠したISMSの認証を独立した認証機関に依頼することを決定した。認証監査は、EsBankのすべてのシステム、プロセス、およびテクノロジーを対象とした。
第1段階と第2段階の監査は合同で実施され、いくつかの不適合が発見された。最初の不適合は、EsBankの情報ラベル付けに関するものであった。同社は情報分類体系は持っていたものの、情報ラベル付けの手順がなかった。そのため、同じレベルの保護を必要とする文書でも、異なるラベルが付けられていた(機密文書の場合もあれば、機密性の高い文書の場合もあった)。
すべての文書が電子的に保存されていたことを考慮すると、この不適合はメディアの取り扱いにも影響を与えた。監査チームはサンプリング調査を行い、200個のリムーバブルメディアのうち50個に、機密情報として誤って分類された機密情報が保存されていたと結論付けた。情報分類体系によれば、機密情報はリムーバブルメディアに保存することが許可されているが、機密情報は厳しく禁止されている。これがもう一つの不適合事項となった。
彼らは不適合報告書を作成し、監査結果についてEsBankの担当者と協議した。担当者は、検出された不適合事項に対する改善計画を2か月以内に提出することに同意した。
EsBankは監査チームリーダーの提案した解決策を受け入れた。物理フォーマットと電子フォーマットの両方に対応した分類体系に基づく情報表示手順書を作成することで、不適合事項を解決した。リムーバブルメディアの手順書もこの手順書に基づいて更新された。
監査完了から2週間後、EsBankは一般的な改善計画を提出した。その中で、検出された不適合事項と講じた是正措置について説明したが、影響を受けたシステム、統制、または業務に関する詳細は含まれていなかった。監査チームは改善計画を評価し、不適合事項は解決されると結論付けた。しかしながら、EsBankは認証に関して不利な勧告を受けた。
上記のシナリオに基づいて、次の質問に答えてください。
EsBankは情報表示の手順を策定することにより、以下のことを実現しました。

• A. 不適合の根本原因を排除した
• B. 不適合を解決するための行動計画を提出しました
• C. 情報分類体系を作成した