セキュリティ方針・法的要求事項・インシデント対応・監査
情報セキュリティ監査において、監査人がアクセス権限台帳と実際のシステム設定を突合した結果、退職済みの従業員のアカウントが有効なまま残っていることを発見した。この場合の監査人の対応として最も適切なものはどれか。
- A軽微な問題であるため、特に記録せず口頭で担当者に伝えるだけにとどめる
- B監査人自らがその場でアカウントを削除し、対応を完了させる
- C発見事項は監査の対象外であるため、報告しない
- ✓発見事項を監査調書に記録し、監査報告書に指摘事項として記載した上で、是正を勧告する
解説
監査人は発見した事実を監査調書に記録し、監査報告書に指摘事項として記載した上で、被監査部門に対して是正を勧告することが求められる。監査人自身が是正措置を実行することは、監査人の独立性を損なうおそれがあるため適切ではない。
根拠シラバス「情報セキュリティ監査」