isms-audit-expert

ISMS 監査エキスパート

ISO 27001 への準拠確認、セキュリティ管理策の評価、認証取得支援を目的とした、内部および外部の ISMS 監査管理です。

---

まず確認すること

監査の計画または実施に先立ち、以下の入力事項を確認してください。不足している、または曖昧な項目が結果を左右する場合は確認し、左右しない場合は妥当な既定値を使い、その値を明記してください。

• 監査の種類： 年次内部監査、ステージ 1、ステージ 2、サーベイランス、または再認証（スコープとチェックリストの詳細度が決まります）。
• 対象となる管理策： 今回の監査で対象とする附属書 A の管理策／適用宣言（SoA）の範囲（スケジュールとテスト内容が決まります）。
• リスク評価と過去の指摘事項： 管理策ごとのリスクと未解決の不適合（監査頻度とサンプル数が決まります）。

リスト全体ではなく、この依頼で最も重要な 2～3 項目について確認してください。ユーザーがすぐに結果を求める場合は、結果を作成し、冒頭に前提条件を記載してください。

監査プログラム管理

リスクベースの監査スケジュール

リスクレベル	監査頻度	例
重大	四半期ごと	特権アクセス、脆弱性管理、ログ記録
高	半年ごと	アクセス制御、インシデント対応、暗号化
中	年次	ポリシー、セキュリティ意識向上トレーニング、物理的セキュリティ
低	年次	文書化、資産インベントリ

ワークフロー：年次監査計画

1. 過去の監査結果を確認する -- 直近のサイクルにおける過去の指摘事項、未解決項目、リスク評価の出力を分析します。
2. 高リスクの管理策を特定する -- 最近のセキュリティインシデントに関係する管理策や、未解決の不適合がある管理策に印を付けます。
3. 監査スコープを決定する -- ISMS の境界を定義し、認証サイクルにおける適用宣言（SoA）の対象範囲を確認します。
4. 監査員を割り当てる -- 被監査領域から独立していることを確認し、監査員の力量を検証します（ISO 27001 主任監査員の資格が望ましいです）。
5. 監査スケジュールを作成する -- リソースを割り当て、日程を設定し、リスクの優先度に応じて年間に配分します。
6. 最終版の監査計画について、経営陣の承認を得ます。
7. 検証チェックポイント： 認証サイクル内に附属書 A の 93 項目すべての管理策が監査計画に含まれていること、経営陣がスケジュールを承認していること、監査員の独立性が確認されていること。

例：年次監査計画の出力

ISMS AUDIT PLAN 2026

Prepared by: Information Security Manager
Approved by: CISO
Date: 2026-01-15

Q1 2026 (January-March)
  Scope: Privileged access (A.8.2, A.8.18), Logging (A.8.15, A.8.16)
  Auditor: External consultant (independence required)
  Risk level: Critical

Q2 2026 (April-June)
  Scope: Access control (A.8.3-A.8.5), Incident response (A.5.24-A.5.28)
  Auditor: Internal audit team
  Risk level: High

Q3 2026 (July-September)
  Scope: Physical security (A.7.1-A.7.14), HR security (A.6.1-A.6.8)
  Auditor: Internal audit team
  Risk level: Medium

Q4 2026 (October-December)
  Scope: Policies (A.5.1-A.5.8), Asset management (A.5.9-A.5.14)
  Auditor: Internal audit team
  Risk level: Medium-Low

Coverage: 93/93 Annex A controls scheduled across 4 quarters

---

監査の実施

ワークフロー：監査前の準備

1. ISMS 文書を確認する -- ポリシー、適用宣言、リスク評価、リスク対応計画を確認します。
2. 過去の監査報告書を分析する -- 未解決の指摘事項と、フォローアップが必要な領域を記録します。
3. 監査計画を準備する -- インタビューのスケジュール、管理策のサンプル、必要な証拠を定義します。
4. 被監査者に通知する -- 少なくとも 2 週間前に、スコープ、時期、必要な文書を伝えます。
5. 対象となるすべての管理策について、管理策別のチェックリストを準備します。
6. 検証チェックポイント： 開始会議の前に、すべての文書を受領して確認していること。

ワークフロー：監査の実施

1. 開始会議 -- スコープを確認し、監査チームを紹介し、連絡手段と実施上の詳細について合意します。
2. 証拠の収集 -- 管理策の責任者にインタビューし、文書と記録を確認し、運用中のプロセスを観察し、技術的な設定を検査します。
3. 管理策の検証 -- 管理策の設計をテストし（リスクに対応しているか）、管理策の運用をテストし（意図したとおりに機能しているか）、取引と記録をサンプリングし、すべての証拠を文書化します。
4. 終了会議 -- 暫定的な指摘事項を提示し、事実誤認を確認し、指摘事項の分類について合意し、是正措置の期限を確認します。
5. 検証チェックポイント： 対象となるすべての管理策が証拠を記録したうえで評価され、指摘事項が分類されて伝達されていること。

証拠収集方法

方法	使用目的	例
質問	プロセスの理解	セキュリティマネージャーにインシデント対応について質問する
観察	運用状況の確認	受付で来訪者のサインイン手順を観察する
検査	文書のレビュー	前四半期のアクセス承認記録を確認する
再実施	統制テスト	ポリシーの適用を検証するため、弱いパスワードでログインを試みる

---

統制評価

ISO 27002 の統制カテゴリー

組織的統制（A.5）： 情報セキュリティポリシー、役割と責任、職務の分離、当局との連絡、脅威インテリジェンス、プロジェクトにおける情報セキュリティ。

人的統制（A.6）： スクリーニングと経歴確認、雇用条件、セキュリティ意識向上とトレーニング、懲戒プロセス、リモートワークのセキュリティ。

物理的統制（A.7）： 物理的なセキュリティ境界、入退室管理、オフィスと施設の保護、物理的なセキュリティ監視、機器の保護。

技術的統制（A.8）： ユーザーエンドポイントデバイス、特権アクセス権、アクセス制限、安全な認証、マルウェア対策、脆弱性管理、バックアップと復旧、ログ記録と監視、ネットワークセキュリティ、暗号化。

ワークフロー：統制テスト

1. 関連する ISO 27002 条項から統制目標を特定します。
2. 統制の種類に基づき、質問、観察、検査、または再実施からテスト方法を決定します。
3. サンプルサイズを定義します。母集団のサイズとリスクレベルを基準にします（例：四半期ごとのアクセスレビューでは25件、年次ポリシーレビューでは5件）。
4. テストを実施し、具体的な証拠への参照とともに結果を記録します。
5. 統制の有効性を評価します。有効、一部有効、または無効とします。
6. 検証チェックポイント： 結論が証拠によって裏付けられていること。統制が完全に有効でない場合は、指摘事項を記録します。

例：統制テスト調書

CONTROL TEST WORKING PAPER

Control: A.8.2 - Privileged access rights
Objective: Privileged access is restricted and managed
Test date: 2026-03-10
Auditor: J. Smith

Test procedure:
  1. Obtained list of privileged accounts from IAM system (42 accounts)
  2. Selected sample of 10 accounts (25% sample rate)
  3. For each account, verified:
     - Documented business justification exists
     - Manager approval on file
     - Quarterly access review completed
     - No dormant accounts (last login within 90 days)

Results:
  - 8/10 accounts: All criteria met (PASS)
  - 1/10: Missing quarterly review for Q4 2025 (MINOR NC)
  - 1/10: No documented business justification (MINOR NC)

Conclusion: Control partially effective - minor nonconformity raised
Finding reference: ISMS-2026-007

---

指摘事項の管理

指摘事項の分類

重大度	定義	対応期限
重大な不適合	重大なリスクを生じさせる統制の不備	30日
軽微な不適合	影響が限定的な単発の逸脱	90日
観察事項	改善の機会	次回の監査サイクル

指摘事項の文書化テンプレート

Finding ID: ISMS-2026-007
Control Reference: A.8.2 - Privileged access rights
Severity: Minor Nonconformity

Evidence:
- 1 of 10 sampled privileged accounts missing Q4 2025 review
- 1 of 10 sampled accounts lacks documented business justification
- Screenshots of IAM records and review log exported 2026-03-10

Risk Impact:
- Unreviewed privileged access increases insider threat exposure
- Non-justified accounts may represent unnecessary attack surface

Root Cause:
- Access review process relies on manual tracking; no automated reminder

Recommendation:
- Implement automated quarterly review reminders via IAM platform
- Require business justification field as mandatory in provisioning workflow
- Backfill missing reviews within 14 days

ワークフロー：是正措置

1. 被監査者が指摘事項と重大度の分類を確認します。
2. 根本原因分析を10営業日以内に完了します。
3. 目標日と責任者を記載した是正措置計画を提出します。
4. 責任者が計画に従って措置を実施します。
5. 監査人が有効性を検証し、新たな証拠を用いて統制を再テストします。
6. 解決を示す証拠を文書化して指摘事項をクローズします。
7. 検証チェックポイント： 根本原因に対処していること、再発を防止していること、有効な是正の証拠が保管されていること。

---

認証支援

第1段階監査の準備チェックリスト

• ISMS の適用範囲に関する声明を確定
• 情報セキュリティポリシー（経営陣の署名済み）
• 適用宣言書（SoA）を完成
• リスク評価の方法論と結果を文書化
• リスク対応計画を最新の状態に維持
• 内部監査の結果を用意（過去12か月分）
• マネジメントレビューの議事録を保管

第2段階監査の準備チェックリスト

• 第1段階の指摘事項にすべて対応し、クローズ済み
• ISMS を最低3か月間運用
• SoA のすべての統制について、実施を示す証拠を用意
• 全従業員のセキュリティ意識向上トレーニングの記録
• インシデント対応の証拠（インシデントが発生した場合）
• 監査期間のアクセスレビュー文書

サーベイランス監査サイクル

期間	焦点
1年目、第2四半期	高リスクの統制、第2段階の指摘事項のフォローアップ
1年目、第4四半期	継続的改善、統制サンプル
2年目、第2四半期	完全なサーベイランス
2年目、第4四半期	再認証の準備

---

ツール

スクリプト	目的	使用方法
isms_audit_scheduler.py	リスクベースの監査計画を作成します	python scripts/isms_audit_scheduler.py --year 2026 --format markdown

# Generate annual audit plan
python scripts/isms_audit_scheduler.py --year 2026 --output audit_plan.json

# With custom control risk ratings
python scripts/isms_audit_scheduler.py --controls controls.csv --format markdown

# Generate plan for specific quarters only
python scripts/isms_audit_scheduler.py --year 2026 --quarters Q1 Q2 --format json

---

参考資料

ファイル	内容
iso27001-audit-methodology.md	監査プログラムの構成、監査前フェーズ、認証支援
security-control-testing.md	ISO 27002 管理策の技術的な検証手順
cloud-security-audit.md	クラウドプロバイダーの評価、構成のセキュリティ、IAM のレビュー

---

監査パフォーマンス指標

KPI	目標	測定方法
監査計画の完了率	100%	完了した監査数と計画した監査数の比較
指摘事項の是正完了率	SLA 内に >90%	期限内に完了した件数と総件数の比較
重大な不適合	認証時に 0 件	認証サイクルごとの件数
監査の有効性	インシデントの防止	実施されたセキュリティ改善

---

コンプライアンスフレームワークとの統合

フレームワーク	ISMS 監査との関連性
GDPR	A.5.34 プライバシー、A.8.10 情報の削除
HIPAA	アクセス制御、監査ログ、暗号化
PCI DSS	ネットワークセキュリティ、アクセス制御、監視
SOC 2	ISO 27002 に対応付けられたトラストサービス基準

---

トラブルシューティング

問題	考えられる原因	解決策
認証サイクル内に、監査計画が附属書 A の 93 項目すべてを網羅していない	2022 年版の 4 つのテーマ構成に照らした管理策のインベントリがない、またはリスクベースのスケジュールに漏れがある	93 項目すべてを網羅した完全な管理策 CSV を用いて isms_audit_scheduler.py を実行します。3 年間のサイクルで、重要な管理策には四半期ごとの監査を割り当て、その他すべての管理策を毎年網羅するようにします
認証監査で重大な不適合が見つかった	管理策の体系的な不備、または必須の ISMS 要素が完全に欠如している	直ちに根本原因分析を実施します。30 日以内を目標とする是正措置計画を策定し、新たな証拠を用いて管理策を再テストしたうえで、認証機関による検証監査を予定します
認証機関から監査員の独立性に疑義が示された	内部監査員が管理または運用を担当する領域に割り当てられている	監査員の独立性に関する明確な方針を確立します。監査員を自身の責任範囲に割り当ててはなりません。リスクの高い管理策領域では外部コンサルタントの起用を検討し、各監査について独立性の確認を記録します
技術的管理策（A.8）の証拠収集が不完全	技術構成が記録されていない、ログが保持されていない、またはスクリーンショットにタイムスタンプがない	監査前に管理策ごとの証拠チェックリストを準備します。システム管理者に構成のエクスポートを依頼し、ログの保持期間が監査対象期間をカバーしていることを確認して、すべての証拠資料にタイムスタンプを付けます
指摘事項の是正完了率が 90% の目標を下回っている	是正措置の優先順位が付けられていない、担当者が不明確、またはフォローアップが不十分	すべての指摘事項に具体的な担当者と期限を設定します。SLA の 50% および 75% の時点でエスカレーションする自動追跡を導入し、毎月、是正措置をレビューします
サーベイランス監査で、以前に合格した管理策の後退が見つかった	スタッフの変更、システムの更新、またはプロセスの逸脱により、初回認証後に管理策が劣化した	年次チェックだけでなく、継続的なコンプライアンス監視を導入します。リスクの高い領域では毎月、管理策の抜き打ちチェックを予定し、マネジメントレビューに管理策の有効性を含めます
サンプルベースのテストで体系的な問題を見落とした	サンプルサイズが小さすぎる、または問題がないと分かっている記録に偏って選定されている	母集団とリスクレベルに基づいてサンプルサイズを算出します（四半期レビューでは最低 25 件）。無作為抽出の方法を用い、過去に指摘事項があった領域ではサンプルを増やします

---

成功基準

• 監査計画の完了率100％ -- 予定されている監査をすべて計画された四半期内に実施し、経営陣の承認を得ずに延期または中止しません
• 認証／サーベイランス監査における重大な不適合ゼロ -- 体系的な管理策の不備をすべて内部監査で特定し、外部審査の前に是正します
• SLA内の指摘事項クローズ率90％超 -- 重大な不適合は30日以内、軽微な不適合は90日以内にクローズし、観察事項は次の監査サイクルまでに対処します
• 3年間の認証サイクル内にAnnex Aの93管理策すべてを監査 -- 重要な管理策（A.8.2、A.8.5、A.8.8、A.8.15）は四半期ごとに、高リスクの管理策は半年ごとに監査します
• 具体的な参照情報を記載した監査証拠の文書化 -- すべての指摘事項に、管理策の参照情報、証拠の種類（質問／観察／検査／再実施）、サンプルの詳細、結論を含めます
• 監査員の力量を確認 -- 割り当てられた監査員全員がISO 27001主任監査員認証または同等の資格を有し、各監査業務で独立性を確認します

---

対象範囲と制限事項

対象範囲：

• ISO 27001:2022 Annex Aの93管理策すべてを対象とした、リスクベースの年間監査計画とスケジュール策定
• 監査前の準備、証拠収集、管理策のテスト、クロージングミーティングを含む監査実施ワークフロー
• 重大度分類（重大な不適合、軽微な不適合、観察事項）と是正措置の追跡を含む指摘事項管理
• ステージ1（文書レビュー）およびステージ2（実施の有効性）監査に向けた認証支援
• サーベイランス監査の準備と再認証計画
• 組織、人的、物理的、技術的な管理策のテーマに対応した、管理策ごとのテスト手順
• 監査実績指標とKPIの追跡

対象外：

• 認証機関の実際の選定、契約、または料金交渉
• 技術的な侵入テストまたは脆弱性スキャン -- 技術的なチェックには infrastructure-compliance-auditor を使用してください
• ISO 27001 ISMSの導入 -- 導入に関するガイダンスには information-security-manager-iso27001 を使用してください
• ISO 27001との相互参照を超える、SOC 2またはその他のフレームワーク固有の監査の実施
• 監査指摘事項や規制報告義務に関する法的または契約上の助言

重要事項：

• ISO 27001:2013認証は2025年10月以降に有効期限が切れています。現在、すべての監査は4つのテーマにまたがる93管理策を含む2022年版に準拠する必要があります
• 2025年時点で、認証取得を目指す組織は81％に上ります（2024年の67％から増加）。これは、認証済みセキュリティプログラムに対する市場の需要の高まりを示しています
• ベストプラクティスは、監査を定期的なコンプライアンスイベントとして扱うのではなく、ISMSの監査指摘事項を継続的改善に組み込むことです

---

統合ポイント

スキル	統合内容	使用するタイミング
information-security-manager-iso27001	ISMSの導入によって、監査対象となる管理策と文書が整備されます	監査指摘事項への対応として、管理策の改善またはISMSの強化が必要な場合
infrastructure-compliance-auditor	技術インフラのチェックによって、Annex Aの技術的管理策に関する監査証拠が得られます	監査でA.8技術的管理策の実施証拠が必要な場合
soc2-compliance-expert	SOC 2の監査証拠とTrust Services Criteriaは、ISO 27001の管理策と重複します	組織がISO 27001とSOC 2の両方のコンプライアンスプログラムを維持している場合
capa-officer	正式な是正措置が必要な監査指摘事項は、CAPAプロセスに引き継がれます	重大な不適合に対して、体系的な根本原因分析と是正措置が必要な場合

---

ツールリファレンス

isms_audit_scheduler.py

管理策定のリスク評価に基づき、四半期ごとのスケジュールを含むリスクベースの年間監査計画を生成します。

フラグ	必須	説明
--year <year>	いいえ	監査計画の対象年（デフォルト：現在の年）
--controls <file>	いいえ	カスタムの管理策リスク評価を含む CSV ファイル（列：control_id、name、risk）。デフォルトでは、主要な 18 の管理策に組み込まれたリスク評価を使用します
--quarters <list>	いいえ	指定した四半期のみの計画を生成します（例：--quarters Q1 Q2）
--format <fmt>	いいえ	出力形式：json（デフォルト）または markdown
--output <file>	いいえ	監査計画を指定したファイルパスにエクスポートします

リスクレベル別の監査頻度：

• critical：四半期ごと（年 4 回） -- 例：A.8.2 特権アクセス、A.8.5 認証、A.8.8 脆弱性、A.8.15 ロギング
• high：半年ごと（年 2 回） -- 例：A.5.15 アクセス制御、A.5.24 インシデント管理、A.8.7 マルウェア対策
• medium：年 1 回 -- 例：A.5.1 ポリシー、A.6.3 セキュリティ意識向上トレーニング、A.7.1 物理的境界
• low：年 1 回 -- 例：文書化、資産インベントリ

出力： 管理策の割り当て、監査員の配置に関するガイダンス、リスクベースの優先順位付け、認証サイクル内ですべての管理策がスケジュールされるようにするカバレッジ追跡を含む、四半期ごとの監査スケジュールです。