マネジメント・システム監査応用問題
情報セキュリティ監査において、複数部門から「セキュリティ教育が全従業員に対して実施されていない」という指摘が上がった場合、このことが組織のセキュリティ態勢全体に与える影響として最も適切なものは何ですか？
A.教育は補助的な対策であり、他の技術的対策があれば十分である
✗ セキュリティ教育は従業員の意識向上に必須であり、技術対策の補完で最も重要な要素です。
B.人的脅威への対応能力が低下し、社会工学的攻撃やルール違反による事故が増加しやすくなる← 正解
✓ 正解です。教育不足により、フィッシングやマルウェア対応、情報取扱ルールの認識が不足し、インシデント発生率が高まります。
C.監査指摘事項であっても、改善優先度は低く翌年度以降の対応でよい
✗ 全従業員教育は基本的な統制であり、高い優先度で早期改善が必要です。
D.教育実施の有無は監査対象外であり、問題にはならない
✗ ISMSの認識・教育・訓練は8.2で規定された重要な監査項目です。