최신 ISO-IEC-27001-Lead-Auditor日本語 무료덤프 - PECB Certified ISO/IEC 27001 Lead Auditor exam (ISO-IEC-27001-Lead-Auditor日本語版)
以下の状況に、必要な監査の種類を対応させてください。
정답:
Explanation:
* Top management requests auditors from the organisation's compliance department to audit the production process in order to ensure the final product meets quality requirements = First-party audit
* Auditors from the buyer's organisation audit their raw material supplier to ensure the supply fulfils the order and contract = Second-party audit
* Auditors from an independent certification body conduct an audit of the organisation to verify conformity with an ISO Standard for certification purposes = Third-party audit
* The organisation has been audited against two management system standards in one audit = Combined audit According to the ISO/IEC 27001 standard, there are three main categories of audits: internal, external, and certification1. An internal audit, also known as a first-party audit, is an audit conducted by the organisation itself, or by an external party on its behalf, for management review and other internal purposes12. An external audit, also known as a second-party audit, is an audit conducted by a customer or other interested party on a supplier or contractor to verify compliance with contractual or other requirements12. A certification audit, also known as a third-party audit, is an audit conducted by an independent certification body to verify conformity with an ISO standard for certification purposes12. A combined audit is an audit where two or more management system standards are audited together3.
1: PECB Candidate Handbook - ISO/IEC 27001 Lead Auditor, page 192: ISO 27001 Audit Types and How They are Conducted23: The Four ISO 27001 Audit Categories, Explained4
文を最も適切に完成させる語句を選択してください。
文を完成させるには、空欄部分をクリックして赤色にハイライト表示させ、下の選択肢から該当するテキストをクリックしてください。または、選択肢を適切な空欄部分にドラッグ＆ドロップすることもできます。
文を完成させるには、空欄部分をクリックして赤色にハイライト表示させ、下の選択肢から該当するテキストをクリックしてください。または、選択肢を適切な空欄部分にドラッグ＆ドロップすることもできます。
정답:
Explanation:
* A third-party audit team leader is a person who leads an audit team that conducts audits on behalf of an external organization, such as a certification body, that provides certification or accreditation services to other organizations12.
* One of the main responsibilities of a third-party audit team leader is to act on behalf of the certification body, which means to represent its interests, policies, and procedures during the audit process12.
* Acting on behalf of the certification body involves communicating with the audit client and the auditee, planning and conducting the audit, reporting and evaluating the audit results, and making recommendations for certification or accreditation decisions12.
* Acting on behalf of the certification body also requires maintaining professional integrity, impartiality, confidentiality, and competence throughout the audit process12.
References :=
* ISO 19011:2022 Guidelines for auditing management systems
* ISO/IEC 17021-1:2022 Conformity assessment - Requirements for bodies providing audit and certification of management systems - Part 1: Requirements
シナリオ8：EsBankは9月からエストニアの銀行業界に銀行および金融ソリューションを提供している。
2010年現在、同社は全国に30の支店と100台以上のATMを展開している。
規制の厳しい業界で事業を展開するEsBankは、データのセキュリティとプライバシーに関する多くの法律や規制を遵守しなければなりません。技術的および非技術的な管理策を実施することで、事業運営全体にわたって情報セキュリティを管理する必要があります。EsBankは、ISO/IECに基づいたISMSを導入することを決定しました。
27001を選んだのは、より優れたセキュリティ、より高度なリスク管理、そして法律や規制の主要要件への準拠を実現できたからです。
ISMSの導入が成功してから9か月後、EsBankはISO/IEC 27001に準拠したISMSの認証を独立した認証機関に依頼することを決定した。認証監査は、EsBankのすべてのシステム、プロセス、およびテクノロジーを対象とした。
第1段階と第2段階の監査は合同で実施され、いくつかの不適合が発見された。最初の不適合は、EsBankの情報ラベル付けに関するものであった。同社は情報分類体系は持っていたものの、情報ラベル付けの手順がなかった。そのため、同じレベルの保護を必要とする文書でも、異なるラベルが付けられていた(機密文書の場合もあれば、機密性の高い文書の場合もあった)。
すべての文書が電子的に保存されていたことを考慮すると、この不適合はメディアの取り扱いにも影響を与えた。監査チームはサンプリング調査を行い、200個のリムーバブルメディアのうち50個に、機密情報として誤って分類された機密情報が保存されていたと結論付けた。情報分類体系によれば、機密情報はリムーバブルメディアに保存することが許可されているが、機密情報は厳しく禁止されている。これがもう一つの不適合事項となった。
彼らは不適合報告書を作成し、監査結果についてEsBankの担当者と協議した。担当者は、検出された不適合事項に対する改善計画を2か月以内に提出することに同意した。
EsBankは監査チームリーダーの提案した解決策を受け入れた。物理フォーマットと電子フォーマットの両方に対応した分類体系に基づく情報表示手順書を作成することで、不適合事項を解決した。リムーバブルメディアの手順書もこの手順書に基づいて更新された。
監査完了から2週間後、EsBankは一般的な改善計画を提出した。その中で、検出された不適合事項と講じた是正措置について説明したが、影響を受けたシステム、統制、または業務に関する詳細は含まれていなかった。監査チームは改善計画を評価し、不適合事項は解決されると結論付けた。しかしながら、EsBankは認証に関して不利な勧告を受けた。
上記のシナリオに基づいて、次の質問に答えてください。
EsBankは情報表示の手順を策定することにより、以下のことを実現しました。
2010年現在、同社は全国に30の支店と100台以上のATMを展開している。
規制の厳しい業界で事業を展開するEsBankは、データのセキュリティとプライバシーに関する多くの法律や規制を遵守しなければなりません。技術的および非技術的な管理策を実施することで、事業運営全体にわたって情報セキュリティを管理する必要があります。EsBankは、ISO/IECに基づいたISMSを導入することを決定しました。
27001を選んだのは、より優れたセキュリティ、より高度なリスク管理、そして法律や規制の主要要件への準拠を実現できたからです。
ISMSの導入が成功してから9か月後、EsBankはISO/IEC 27001に準拠したISMSの認証を独立した認証機関に依頼することを決定した。認証監査は、EsBankのすべてのシステム、プロセス、およびテクノロジーを対象とした。
第1段階と第2段階の監査は合同で実施され、いくつかの不適合が発見された。最初の不適合は、EsBankの情報ラベル付けに関するものであった。同社は情報分類体系は持っていたものの、情報ラベル付けの手順がなかった。そのため、同じレベルの保護を必要とする文書でも、異なるラベルが付けられていた(機密文書の場合もあれば、機密性の高い文書の場合もあった)。
すべての文書が電子的に保存されていたことを考慮すると、この不適合はメディアの取り扱いにも影響を与えた。監査チームはサンプリング調査を行い、200個のリムーバブルメディアのうち50個に、機密情報として誤って分類された機密情報が保存されていたと結論付けた。情報分類体系によれば、機密情報はリムーバブルメディアに保存することが許可されているが、機密情報は厳しく禁止されている。これがもう一つの不適合事項となった。
彼らは不適合報告書を作成し、監査結果についてEsBankの担当者と協議した。担当者は、検出された不適合事項に対する改善計画を2か月以内に提出することに同意した。
EsBankは監査チームリーダーの提案した解決策を受け入れた。物理フォーマットと電子フォーマットの両方に対応した分類体系に基づく情報表示手順書を作成することで、不適合事項を解決した。リムーバブルメディアの手順書もこの手順書に基づいて更新された。
監査完了から2週間後、EsBankは一般的な改善計画を提出した。その中で、検出された不適合事項と講じた是正措置について説明したが、影響を受けたシステム、統制、または業務に関する詳細は含まれていなかった。監査チームは改善計画を評価し、不適合事項は解決されると結論付けた。しかしながら、EsBankは認証に関して不利な勧告を受けた。
上記のシナリオに基づいて、次の質問に答えてください。
EsBankは情報表示の手順を策定することにより、以下のことを実現しました。
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
あなたは、機密文書およびリムーバブルメディアの安全な廃棄を専門とする組織に対し、第三者認証監査を実施する経験豊富なISMS監査チームリーダーです。文書とメディアはどちらも軍事レベルのシュレッダーで細断されるため、元の状態を復元することは不可能です。
監査は順調に進み、最終会議の30分前に監査報告書の作成に取りかかろうとしていたところ、組織の従業員の一人があなたのドアをノックし、話があるかどうか尋ねてきました。その従業員は、業務が忙しくなると、上司から低グレードの産業用シュレッダーを使うように指示されていると告げました。組織にはこうした機械が多数あり、稼働速度も速いからだそうです。被監査組織は、こうした機械の存在や使用についてあなたに一切知らせていませんでした。
この情報に対する対応方法について、3つの選択肢を選んでください。
監査は順調に進み、最終会議の30分前に監査報告書の作成に取りかかろうとしていたところ、組織の従業員の一人があなたのドアをノックし、話があるかどうか尋ねてきました。その従業員は、業務が忙しくなると、上司から低グレードの産業用シュレッダーを使うように指示されていると告げました。組織にはこうした機械が多数あり、稼働速度も速いからだそうです。被監査組織は、こうした機械の存在や使用についてあなたに一切知らせていませんでした。
この情報に対する対応方法について、3つの選択肢を選んでください。
정답: E,F,G
설명: (DumpTOP 회원만 볼 수 있음)
質問
組織がすべての受信トラフィックを管理するために単一のサーバーに依存している場合、潜在的な単一障害点が生じる可能性があります。サーバーに不具合やダウンタイムが発生すると、サービスが中断される可能性があります。
このシナリオはどのような状況を示しており、情報セキュリティのどの側面が主に影響を受けるのでしょうか？
組織がすべての受信トラフィックを管理するために単一のサーバーに依存している場合、潜在的な単一障害点が生じる可能性があります。サーバーに不具合やダウンタイムが発生すると、サービスが中断される可能性があります。
このシナリオはどのような状況を示しており、情報セキュリティのどの側面が主に影響を受けるのでしょうか？
정답: A
설명: (DumpTOP 회원만 볼 수 있음)
以下の選択肢のうち、ステージ1監査の主な目的を説明しているのはどれですか？
* ステージ2への準備状況を判断するため
* ステージ2への準備状況を判断するため
정답: B
설명: (DumpTOP 회원만 볼 수 있음)
ISO/IEC 27001附属書Aの管理項目8.15「ログ記録」への適合性を検証するため、監査チームはサーバーログのサンプルを検証し、編集または削除が可能かどうかを判断しました。使用された監査手順はどれですか？
정답: C
설명: (DumpTOP 회원만 볼 수 있음)
質問
ある組織では、全従業員に対し、6ヶ月ごとにセキュリティ意識向上トレーニングの受講を義務付けている。トレーニングでは、フィッシング攻撃の見分け方、機密データの取り扱い方、セキュリティインシデントの報告方法といったトピックを取り上げる。
研修修了後、従業員は理解度を示すための簡単なクイズに合格する必要があります。
この活動はどのような種類の支配を表していますか？
ある組織では、全従業員に対し、6ヶ月ごとにセキュリティ意識向上トレーニングの受講を義務付けている。トレーニングでは、フィッシング攻撃の見分け方、機密データの取り扱い方、セキュリティインシデントの報告方法といったトピックを取り上げる。
研修修了後、従業員は理解度を示すための簡単なクイズに合格する必要があります。
この活動はどのような種類の支配を表していますか？
정답: B
설명: (DumpTOP 회원만 볼 수 있음)