※参考資料　前回審査・内部監査の指摘について（前回までの監査フォロー）

📎 元の Excel 文書をダウンロード

---

シート：内部監査チェックリスト（前回までの監査フォロー）

					文書番号：B-11-02
	内部監査チェックリスト（前回までの監査フォロー）
			実施日：	2026/●/●
			監査者：	●●
			対象部門：	委員会、システム管理、開発部、営業部、サービス部、経営企画室
	【2024/ 5 / 16~2024/5/17 　審査】				検証結果　○：適合　△：観察事項　×：不適合 -：対象外
	項番	項目	チェック事項	検証結果	備考
	1	本文6.1.3 情報セキュリティリスク対応	リスクアセスメント報告書で、前回2024.5.9の資料を拝見しました。リスク受容レベル6越えでリスク低減と評価したリスク対応計画で、優先順位=1にもかかわらず、「済み」ではなく「予定」として、完了していないリスク対応計画が何件がありました。その 場合、次年度に継続しても構いませんが、なるべくその年度で完了するよう、予実管理を適切に行うよう検討の余地があります。	○	リスクアセスメント報告書内の「予定」扱いとなっていたリスク対応については、実際にはリスク対応計画書にて完了済みであり、報告書側の更新漏れによるもだった。 リスク対応計画の確認時に、リスクアセスメント報告書の更新状況を別担当者がダブルチェックし、資料間の整合を行っていることを確認。	リスクアセスメント&リスク対応計画（対応計画の対応が終わったらリスクアセスメントの表も全て 済にしておく） （リスク対応計画に書かれている内容の現状確認。次回のリスク対応計画は全て対応済にしておく）
	2	管理策 5.9 本文6.1.2 情報及びその他の関連情報の目録	資産目録に、Pabbitサービスを含む貴社が提供するクラウドサービスに保存されるデータ（ISO/IEC27017で言うクラウドサービスカスタマーデータ）を登録し、リスク評価の対象とすることが望まれます。合わせて、M社のアプリ「Salto KS」や、タグキーを追記すること、また、携帯電話は会社支給品と私物（BYOD=私物の業務利用）を明記する点で、改善の余地があります。	○	「クラウドサービスデータ（Pabbit）」「Salto KS」「携帯電話(会社支給品)」「携帯電話(私物)」「タグキー」を資産目録への追記を確認。 上記に伴ったリスクアセスメントを行ったことを確認。 　・資産目録	Pabbitサービスを含む貴社が提供するクラウドサービスに保存されるデータを資産目録に追加 （Pabbitサービスを含む貴社が提供するクラウドサービスに保存されるデータ（ISO/IEC27017で言うクラウドサービスカスタマーデータ）） 「携帯電話（会社支給品）」と「携帯電話（私物）を追加」 M社のアプリ「Salto KS」や、タグキーを追記する 携帯電話は会社支給品と私物（BYOD=私物の業務利用）を明記する（資産目録は分けて管理）
	3	本文 9.2.2 内部監査プログラム	内部監査計画書（2025.3.1）を拝見しました。①監査目的として、「管理策の運用状況の確認」とありますが、「本文及び管理策の運用状況の確認」とする点、②引越し（移転）の後の内部監査ですので、加えて「移転後のセキュリティ状況の確認」などを追加する点、について検討の余地がありま す。	○	「本文及び管理策の運用状況の確認」と「移転後のセキュリティ状況の確認」を今回の内部監査のテーマとして計画に盛り込み実施されていることを確認。 ・内部監査計画書	内部監査の時に追加
	4	本文 7.2　力量	内部監査員として監査ができる方は、2024.3.22に「内部監査に関するレクチャー」を受けた管理責任者お一人です。今後、コンサルの方に頼らずに、自前で内部監査を行えるよう、内部監査員を増員できないか検討の余地があります。	○	社内より「内部監査員」を選定し、力量確認表に記載があることを確認。 ・力量確認表	力量確認表に新たに内部監査を追加（内部監査員を追加する）
	5	本文 9.2　 内部監査	前回実施した内部監査の内部監査報告書では、「観察事項2件に対して、次回の内部監査で確認」との記載があります。観察事項2件に関して「すぐに対応した」とのことですが、その結果を確認するためにも、今回監査で、前回監査の観察事項を確認することが望まれます。	○	今回の内部監査で前回の内部監査で挙がった観察事項の対応確認を行い、適切に対応されているのを確認。 詳細は下記「【2025/ 4 /23 　内部監査】」のとおり。	次回の内部監査の前回のフォローに前回監査で挙げた２件観察事項の項目を入れる （今回の内部監査で追加しているかを確認して対応したか記録する）
	6	管理策 5.7 8.8 脅威インテリジェンス・技術的脆弱性の管理	脅威情報や脆弱性情報を、IPAのサイトやセキュリティに関するメール等で収集し、Slackにて社内に展開していますが、JVN（Japan VulnerabilityNotes）、JPCERTなどのサイトも有効です。「連絡先一覧表」にあげ、情報収集の一助として下さい。	○	連絡先一覧表に「JPCERT」の記載が既に記載あることを確認。 JPCERTJVN（Japan VulnerabilityNotes）、を追加し、Slackにも情報を入手できるように設定していることを確認。 ・連絡先一覧表	対応済
	7	管理策 5.9 本文 6.1.2　 情報及びその他の関連情報の目録	情報及びその他の関連情報の目録執務室の中に開発用の「スマートロック」があります。このうち、A社から貸与されているものもあり、貴社としては持ち出し禁止、A社は年に1回、棚卸 しをしています。重要な情報資産として、資産目録に登録し、リスク評価の対象とすることが望まれます。	○	「スマートロック」を資産目録への追記を確認。 上記に伴ったリスクアセスメントを行ったことを確認。 ・資産目録	「スマートロック」を追加
	8	管理策 8.7 マルウェアに対する保護	貴社では、MacやGmailを使用しているため、ウィルスに感染しないとの前提です。ISMSハンドブックでは、情報セキュリティインシデントへの対応の項で「ウィルス感染時、……」の記載があります。事例として記載しない方がよろしくないか、検討の余地があります。	○	今回実施した教育ではISMSハンドブックより情報セキュリティインシデントへの対応の項で対象の箇所を削除し更新したテキストで実施されていることを確認。 ・ISMSハンドブック_202602	教育時にで「ウィルス感染時、……」の所を削除
	9	管理策 5.14　 情報の転送	要件定義書やRFP、設計書等を中国深圳の子会社や、生産工場にメール添付で送信する際、PWを付与していません。一方、発注書や注文書等、原価が分かる書類をメールで送信する際はPWを付与しています。資産目録で、プロダクトドキュメントはCIA=332、発注書や注文書はCIA=221の評価です。機密性=3の資産に対してPWなし、機密性=2の資産に対してPW付与、の矛盾を解決することが望まれます。		該当箇所の資産目録のCIA評価の修正していることを確認。 「見積書 」「請求書」「発注書」「提案書」のCIA評価を３２２に再評価、 要件定義書やRFP、設計書等を送る際もPWを付与して送る運用を行っていることを確認。（仮）	プロダクトドキュメント→CIAを２２２、発注書や注文書を３２２に修正？（一旦ギャビン様へ確認）
	【2025/ 4 /23 　内部監査】
	項番	項目	チェック事項	検証結果	備考
	1	観察事項 4.3 情報セキュリティマネジメントシステムの適用範囲の決定	ネットワーク図において、「サービス部」の名称が「サポート部」になっております。修正しておくことを推奨いたします。	○	ネットワーク図が「サービス部」に修正され、最新の情報になっているのを確認した。 ・ネットワーク図
	2	観察事項 5.9 情報及びその他の関連資産の⽬録	資産目録内の「PC」「Slack」「Github」「Kintone」「Google」「Twillo」「Chatgpt」「Moneyforward」「SmartHR」「HRMOS」において、管理部所が特定されていませんでした。特定し追記しておくことを推奨いたします。	○	資産目録内の「PC」「Slack」「Github」「Kintone」「Google」「Twillo」「Chatgpt」「Moneyforward」「SmartHR」「HRMOS」において、管理部所が特定されているのを確認した ・資産目録
	3