JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいて ISMS 内部監査を行った結果として判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

解説　本サイト独自（IPA公表のものではありません）

エ　リスク受容基準とは，特定したリスクを受け入れられるかどうか判断する尺度である。リスクアセスメントより前に基準を定めておかなければ，一貫した尺度で評価と受容の判断ができない。実施後に決めている状況は手順が不適切なので，指摘事項となる。

• ア　USB メモリを定められた手順に従って許可しているので，管理策が規定どおり運用されている状況であり，指摘すべき不備ではない。
• イ　誤廃棄事故を規定されたとおりに主務官庁などへ報告しているので，事故発生後に必要な手続を遵守しており，指摘事項には当たらない。
• ウ　マルウェアスキャンによってスパイウェアを検知し，駆除まで行っているので，対策が意図したとおりに機能した状況であり，不備とはいえない。