内部監査報告書
1. 監査概要
- 監査日：2025-01-05
- 監査対象部門：全社（営業部、開発部、サービス部、管理部）
- 監査対象規格：ISO/IEC 27001:2022+Amd 1:2024, ISO/IEC 27017
- 監査人：ISMS内部監査責任者 楢﨑 泰司
2. 監査目的
- ISMS が ISO/IEC 27001 および 27017 の要求事項に適合しているか確認する。
- ISMS が有効に実施され、維持されているか確認する。
- 改善の機会を特定する。
3. 監査方法
- 文書レビュー（方針、手順書、SoA、リスクアセスメント結果 等）
- インタビュー（各部門管理者、従業者）
- 記録確認（教育記録、監査ログ、インシデント対応記録 等）
- 内部監査チェックリスト（AUD-01）に基づく確認
4. 監査結果サマリ
| 区分 |
件数 |
| 不適合（Major） |
0 |
| 不適合（Minor） |
1 |
| 観察事項（Observation） |
2 |
| 是正処置要求 |
1 |
5. 不適合事項
No.1: アクセス権限棚卸の未実施
- 該当管理策: A.5.15 アクセス制御
- 内容: 一部の退職者アカウントが削除されていなかった。
- 分類: Minor 不適合
- 是正処置: 情報システム管理者が即時削除し、年次棚卸手順を明文化すること。
- 期限: 2025-02-15
6. 観察事項
No.1: クラウド契約のセキュリティ条項不明確
- 該当管理策: C.5.1.2 (ISO/IEC 27017)
- 内容: 契約書にデータ削除保証条項が記載されていなかった。
- 推奨: 契約レビュー時に条項確認チェックリストを導入。
No.2: 教育記録の証跡不十分
- 該当管理策: A.6.2 教育・訓練
- 内容: 一部の教育参加者の受講記録が欠落。
- 推奨: 教育システムを用いて受講完了を自動記録する。
7. 是正処置要求
- 内部監査責任者は上記不適合・観察事項を是正処置報告書 (R-04) に反映し、
期限までに対応を確認する。
8. 結論
- 本監査の結果、ISMS は概ね ISO/IEC 27001:2022+Amd 1:2024 および 27017 の要求事項を満たしている。
- ただし、アクセス権限管理およびクラウド契約に関する改善が必要。
- 是正処置完了後、ISMS の有効性はさらに高まると判断する。
9. 改訂履歴
| 改訂日 |
版数 |
内容 |
承認者 |
| 2025-01-05 |
v1.0 |
新規制定 |
沈 燁 |