B,C,E
情報セキュリティマネジメントシステム（ISMS）の確立、実装、維持、および継続的な改善に関する要件を規定するISO/IEC 27001:2022では、6.2項において、組織は関連する機能およびレベルにおいて情報セキュリティ目標を設定することが求められています1。これらの目標は、情報セキュリティポリシーと整合していること、測定可能（実行可能な場合）または評価可能であること、監視されていること、伝達されていること、必要に応じて更新されていることが求められます1。したがって、組織の情報セキュリティ目標を監査する際には、ISMS監査人は監査基準に従ってこれらの側面を検証する必要があります。
研修中の ISMS 監査員からの回答のうち、ISO/IEC 27001:2022 への適合に関して懸念される 3 つの回答は次のとおりです。
* 経営幹部が今年度の情報セキュリティ目標を決定したか確認します。決定していない場合は、このタスクが完了するようにプログラムされているか確認します。この回答は、研修中の監査人が、経営幹部レベルだけでなく、関連する機能レベルやレベルで情報セキュリティ目標を設定する必要性を認識していないことを示唆しているため、懸念を招きます。また、研修中の監査人が、情報セキュリティ目標の決定における遅延や延期を容認していることも示唆しており、ISMSのパフォーマンスと有効性に影響を与える可能性があります。
* 情報セキュリティ目標が紙に文書化されていることを確認します。これにより、達成すべき内容、達成方法、そして達成期限が全員に明確になります。この回答は、研修中の監査人が、情報セキュリティ目標を単に紙に書き留めるだけでなく、測定可能（実行可能であれば）または評価可能な形で設定する必要があることを認識していないことを示唆しているため、懸念を招きます。また、研修中の監査人が、情報セキュリティ目標を文書化および伝達するための、電子記録やデジタル記録、ポスター、ニュースレターなど、様々な媒体や形式の柔軟性と適合性を認識していないことも示唆しています。
* 各目標に完了日が設定されていること、および「達成期限」が設定されていない目標がないことを確認します。この回答は懸念材料となります。なぜなら、研修中の監査人が、特定の日付までに完了するだけでなく、監視対象となる情報セキュリティ目標を設定する必要があることを認識していないことを示唆しているからです。また、研修中の監査人が、組織の内部または外部の状況に変化が生じた場合、あるいは新たなリスクや機会が生じた場合など、情報セキュリティ目標を適宜更新する可能性と必要性​​を認識していないことも示唆しています。
研修中の ISMS 監査員からのその他の応答は受け入れ可能であり、ISO/IEC 27001:2022 への適合に関して懸念はありません。たとえば、各情報セキュリティ目標が、その目標を達成するためにそれを認識する必要がある人々にどのように伝達されているかを確認することは、6.2 項の伝達の側面の検証に関連します。状況に応じて修正またはキャンセルすることを目的として、情報セキュリティ目標を定期的に見直すプロセスがあることを確認することは、6.2 項の更新の側面の検証に関連します。各目標を達成するために必要な予算、人材、および資材が決定されていることを確認することは、6.2 項の計画の側面の検証に関連します。すべての情報セキュリティ目標が測定可能であることを確認することは、6.2 項の測定可能性の側面の検証に関連します。測定できない場合、組織は目標に対する進捗状況を追跡できません。参照: ISO/IEC 27001:2022 - 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件