isms-audit-expert

ISMS 監査エキスパート

ISO 27001 の適合性確認、セキュリティ管理策の評価、認証支援を目的とした、内部および外部 ISMS 監査の管理です。

目次

• 監査プログラム管理
• 監査の実施
• 管理策の評価
• 指摘事項の管理
• 認証支援
• ツール
• 参考資料

---

監査プログラム管理

リスクベースの監査スケジュール

リスクレベル	監査頻度	例
クリティカル	四半期ごと	特権アクセス、脆弱性管理、ロギング
高	半年ごと	アクセス制御、インシデント対応、暗号化
中	年次	ポリシー、セキュリティ意識向上トレーニング、物理的セキュリティ
低	年次	文書化、資産インベントリ

年間監査計画のワークフロー

1. 過去の監査指摘事項とリスク評価の結果を確認します
2. 高リスクの管理策と最近のセキュリティインシデントを特定します
3. ISMS の境界に基づいて監査範囲を決定します
4. 監査対象領域からの独立性を確保して監査人を割り当てます
5. リソース配分を含む監査スケジュールを作成します
6. 監査計画について経営陣の承認を得ます
7. 検証： 認証サイクル内のすべての附属書 A 管理策が監査計画の対象となっていること

監査人の力量要件

• ISO 27001 主任監査員認証（望ましい）
• 監査対象プロセスに対する運用上の責任を負っていないこと
• 技術的なセキュリティ管理策への理解
• 適用される規制（GDPR、HIPAA）に関する知識

---

監査の実施

監査前の準備

1. ISMS 文書（ポリシー、SoA、リスク評価）を確認します
2. 過去の監査報告書と未解決の指摘事項を分析します
3. インタビューのスケジュールを含む監査計画を準備します
4. 監査範囲と日程を被監査者に通知します
5. 対象範囲内の管理策に関するチェックリストを準備します
6. 検証： 開会会議の前にすべての文書を受領し、確認していること

監査実施の手順

1. 開会会議

   • 監査範囲と目的を確認します
   • 監査チームと監査方法を紹介します
   • コミュニケーション手段と運営上の詳細について合意します

2. 証拠の収集

   • 管理策の責任者や運用担当者にインタビューします
   • 文書と記録を確認します
   • プロセスの運用状況を観察します
   • 技術的な設定を検査します

3. 管理策の検証

   • 管理策の設計をテストします（リスクに対処できているか）
   • 管理策の運用をテストします（意図どおりに機能しているか）
   • 取引や記録をサンプリングします
   • 収集したすべての証拠を文書化します

4. 閉会会議

   • 暫定的な指摘事項を提示します
   • 事実関係の誤りを明らかにします
   • 指摘事項の分類について合意します
   • 是正措置の期限を確認します

5. 検証： 対象範囲内のすべての管理策を、文書化された証拠に基づいて評価していること

---

管理策の評価

管理策のテスト方法

1. ISO 27002 に基づいて管理策の目的を特定します
2. テスト方法（質問、観察、検査、再実施）を決定します
3. 母集団とリスクに基づいてサンプルサイズを定義します
4. テストを実施し、結果を文書化します
5. 管理策の有効性を評価します
6. 検証： 管理策の状況に関する結論が証拠によって裏付けられていること

附属書 A の管理策ごとの詳細な技術的検証手順については、security-control-testing.md を参照してください。

---

指摘事項の管理

指摘事項の分類

重大度	定義	対応期間
重大な不適合	重大なリスクを生じさせる管理策の不備	30 日
軽微な不適合	影響が限定的な個別の逸脱	90 日
観察事項	改善の機会	次回の監査サイクル

指摘事項の文書化テンプレート

Finding ID: ISMS-[YEAR]-[NUMBER]
Control Reference: A.X.X - [Control Name]
Severity: [Major/Minor/Observation]

Evidence:
- [Specific evidence observed]
- [Records reviewed]
- [Interview statements]

Risk Impact:
- [Potential consequences if not addressed]

Root Cause:
- [Why the nonconformity occurred]

Recommendation:
- [Specific corrective action steps]

是正措置ワークフロー

1. 被監査者が指摘事項と重大度を確認します
2. 10日以内に根本原因分析を完了します
3. 目標日を含む是正措置計画を提出します
4. 責任者が措置を実施します
5. 監査人が是正措置の有効性を検証します
6. 解決の証拠をもって指摘事項をクローズします
7. 検証： 根本原因に対処し、再発を防止します

---

認証サポート

ステージ 1 監査の準備

文書がすべて揃っていることを確認します：

• ISMS 適用範囲の声明
• 情報セキュリティポリシー（経営陣の署名入り）
• 適用宣言書
• リスク評価の方法論と結果
• リスク対応計画
• 内部監査の結果（過去 12 か月分）
• マネジメントレビューの議事録

ステージ 2 監査の準備

運用準備が整っていることを確認します：

• ステージ 1 のすべての指摘事項に対応済み
• ISMS が最低 3 か月間運用されている
• 管理策の実施を示す証拠
• セキュリティ意識向上トレーニングの記録
• インシデント対応の証拠（該当する場合）
• アクセスレビューの文書

サーベイランス監査サイクル

期間	焦点
1 年目、第 2 四半期	高リスクの管理策、ステージ 2 の指摘事項のフォローアップ
1 年目、第 4 四半期	継続的改善、管理策のサンプル
2 年目、第 2 四半期	全面的なサーベイランス
2 年目、第 4 四半期	再認証の準備

検証： サーベイランス監査で重大な不適合がないこと。

---

ツール

scripts/

スクリプト	目的	使用方法
isms_audit_scheduler.py	リスクベースの監査計画を生成します	python scripts/isms_audit_scheduler.py --year 2025 --format markdown

監査計画の例

# Generate annual audit plan
python scripts/isms_audit_scheduler.py --year 2025 --output audit_plan.json

# With custom control risk ratings
python scripts/isms_audit_scheduler.py --controls controls.csv --format markdown

---

参考資料

ファイル	内容
iso27001-audit-methodology.md	監査プログラムの構成、監査前の段階、認証サポート
security-control-testing.md	ISO 27002 管理策の技術的な検証手順
cloud-security-audit.md	クラウドプロバイダーの評価、構成セキュリティ、IAM レビュー

---

監査パフォーマンス指標

KPI	目標	測定方法
監査計画の完了率	100%	完了した監査数と計画した監査数の比較
指摘事項のクローズ率	SLA 期間内に >90%	期限内にクローズした件数と合計件数の比較
重大な不適合	認証時に 0 件	認証サイクルごとの件数
監査の有効性	インシデントの防止	実施されたセキュリティ改善