解説

JIS Q 27001（ISMS）の要求事項では「リスクアセスメントを実施する前に、リスク受容基準を含むリスク基準を確立する」ことが求められている（6.1.2条）。リスクアセスメントを実施した「後に」リスク受容基準を決めるのは、基準なしに評価を行うことになり、ISMS要求事項に反する。この順序が逆になっているため、監査指摘事項（不適合）として監査報告書に記載すべき。選択肢dが正解（適切でないもの＝指摘すべきもの）。

なぜ他の選択肢は違うのか

選択肢 ア

USBメモリを定められた手順に従って許可しているのは正常な管理状態。指摘事項にはならない。

選択肢 イ

個人情報の誤廃棄事故を規定どおりに報告しているのはISMSの要求事項に適合。是正処置が取られているなら指摘不要。

選択肢 ウ

マルウェアスキャンでスパイウェアを検知・駆除済みは適切な対応。セキュリティコントロールが機能している証拠。

解くときのポイント

ISMS（JIS Q 27001）のリスクマネジメントの順序：①リスク受容基準の確立→②リスクアセスメント（特定・分析・評価）→③リスク対応計画。基準を決める前にアセスメントしても「許容できるか」を判断できない。順序の逆転は典型的な不適合指摘。