According to ISO 19011:2018, which provides guidelines for auditing management systems, the audit objectives are defined by the audit client and may include determining the extent of conformity or nonconformity of the audited management system against the audit criteria, evaluating the ability of the audited management system to ensure that the organization meets applicable statutory, regulatory and contractual requirements, identifying potential improvement opportunities for the audited management system, and facilitating continual improvement of the audited management system1. Therefore, these three phrases are examples of objectives in relation to an audit. The other options are not objectives, but rather elements or factors that may influence or affect an audit. For example, an international standard is a source of audit criteria, a management policy is a part of the audited management system, and completing an audit on time is a requirement for an effective audit. Reference: ISO 19011:2018 - Guidelines for auditing management systems

According to ISO/IEC 17021-1, which specifies the requirements for bodies providing audit and certification of management systems, a certification body should ensure that its auditors are competent, impartial, and independent from the auditee organization2. Therefore, if a Management System Representative of a client organization asks for a specific auditor for the certification audit, the individual(s) managing the audit programme should respond in a way that does not compromise these principles or create any conflict of interest or undue influence2. Two possible ways to respond are to state that his request will be considered but may not be taken up, as there may be other factors that affect the auditor selection process; or to advise him that the audit team selection is a decision that the audit programme manager needs to make based on the resources available, such as auditor availability, competence, location, etc2. The other options are not suitable ways to respond in this situation. For example, advising him that his request can be accepted may raise doubts about the objectivity and credibility of the auditor and the certification body; suggesting that he chooses another certification body may imply that his request is unreasonable or unethical; and suggesting asking the certification body management to permit his request may suggest that there is room for negotiation or manipulation in auditor selection2. Reference: ISO/IEC 17021-1:2015 - Conformity assessment - Requirements for bodies providing audit and certification of management systems - Part 1: Requirements

인간 위협은 의도적 또는 비의도적으로 조직의 정보 자산에 해를 끼치는 개인 또는 그룹으로부터 발생하는 위협입니다. 인간 위협의 예로는 해커, 내부자, 테러리스트, 범죄자, 경쟁사 또는 불만을 품은 직원이 있습니다. 인간의 위협은 기술적, 물리적 또는 조직적 취약성을 악용하여 정보의 기밀성, 무결성 또는 가용성을 손상시킬 수 있습니다. 피싱은 사회 공학 기술을 사용하여 사용자를 속여 비밀번호, 신용 카드 번호, 은행 계좌 세부 정보와 같은 민감한 정보를 공개하도록 하는 인간 위협의 한 예입니다. 피싱 공격에는 은행, 정부 기관, 신뢰할 수 있는 연락처 등 합법적인 출처에서 보낸 것처럼 보이는 사기성 이메일이나 메시지를 보내는 경우가 많습니다. 메시지에는 악성 웹사이트에 대한 링크나 악성 코드가 포함된 첨부 파일이 포함될 수 있습니다. 따라서 정답은 C입니다. 참조: ISO/IEC 27000:2022, 3.25절; 피싱이란 무엇입니까? | 피싱 사기를 식별하고 피하는 방법.

경영 시스템의 심사 및 인증을 제공하는 기관에 대한 요구 사항을 명시한 ISO/IEC 17021-1에 따르면, 인증 기관은 심사원이 유능하고, 공정하며, 피심사자 조직으로부터 독립적임을 보장해야 합니다2. 따라서 고객 조직의 경영시스템 담당자가 인증 심사를 위해 특정 심사원을 요청하는 경우, 심사 프로그램을 관리하는 개인은 이러한 원칙을 타협하거나 이해 상충 또는 부당한 영향력을 조성하지 않는 방식으로 대응해야 합니다2 . 응답할 수 있는 두 가지 가능한 방법은 그의 요청이 고려될 것이지만 감사인 선정 과정에 영향을 미치는 다른 요인이 있을 수 있으므로 받아들여지지 않을 수도 있다고 말하는 것입니다. 또는 감사팀 선정은 감사 프로그램 관리자가 감사 가용성, 역량, 위치 등과 같은 이용 가능한 자원을 기반으로 내려야 하는 결정임을 그에게 조언합니다2. 다른 옵션은 이 상황에 대응하는 적절한 방법이 아닙니다. 예를 들어, 그의 요청이 수락될 수 있다고 조언하는 것은 심사원과 인증 기관의 객관성과 신뢰성에 대한 의구심을 불러일으킬 수 있습니다. 다른 인증 기관을 선택하도록 제안하는 것은 그의 요청이 불합리하거나 비윤리적이라는 것을 암시할 수 있습니다. 인증기관 경영진에게 자신의 요청을 허용하도록 요청하는 것은 심사원 선정에 협상이나 조작의 여지가 있음을 시사할 수 있습니다2. 참고 자료: ISO/IEC 17021-1:2015 - 적합성 평가 - 경영 시스템의 감사 및 인증을 제공하는 기관에 대한 요구 사항 - 1부: 요구 사항

정보 보안 관리 시스템(ISMS)을 구축, 구현, 유지 및 지속적으로 개선하기 위한 요구 사항을 명시한 ISO/IEC 27001:2022에 따르면, 9.3항에서는 최고 경영진이 계획된 간격으로 조직의 ISMS를 검토하여 지속적인 적합성을 보장하도록 요구합니다. 적절성과 효율성1. 조항 9.2에서는 조직이 ISMS가 자체 요구사항 및 ISO/IEC 27001:2022 요구사항을 준수하고 효과적으로 구현 및 유지되는지 여부에 대한 정보를 제공하기 위해 계획된 간격으로 내부 감사를 수행하도록 요구합니다1. 따라서 외부 인증 기관이 도착하기 전 최종 점검으로 감사 프로세스 및 감사 결과를 검토할 때 내부 ISMS 감사자는 이러한 조항이 감사 기준에 따라 충족되는지 확인해야 합니다.
다음 진술 중 6개는 ISO/IEC 27001:2022 요구 사항 준수와 관련하여 우려를 불러일으킵니다.
감사 프로그램에는 연중 불규칙한 간격으로 경영 검토가 이루어지고 있음이 표시됩니다. 이 진술은 조직이 9.3절에서 요구하는 대로 계획된 간격으로 경영 검토를 수행하지 않는다는 것을 의미하므로 우려를 불러일으킬 수 있습니다. 이는 ISMS의 지속적인 적합성, 적절성 및 효율성을 보장하는 최고 경영진의 능력에 영향을 미칠 수 있습니다.
감사 프로그램은 정보 보안 프로세스의 상대적 중요성을 고려하지 않습니다. 이 진술은 조직이 감사 빈도, 방법, 범위 및 기준을 결정하기 위해 위험 기반 접근 방식을 적용하지 않음을 암시하기 때문에 우려를 불러일으킬 수 있습니다. 감사 관리 시스템에 대한 지침을 제공하는 ISO 19011:20182. 이는 ISMS에 대한 가장 중요한 위험과 기회를 식별하고 해결하는 조직의 능력에 영향을 미칠 수 있습니다.
각 내부 감사의 범위는 정의되어 있지만 현재까지 수행된 감사에 대해 정의된 감사 기준은 없습니다. 이 진술은 조직이 조항에서 요구하는 대로 각 내부 감사에 대한 감사 기준을 설정하지 않음을 암시하므로 우려를 불러일으킬 수 있습니다. 9.2. 감사 기준은 감사 증거를 비교하는 기준으로 사용되는 일련의 정책, 절차 또는 요구 사항입니다. 감사 기준이 없으면 ISMS가 자체 요구 사항과 ISO/IEC 27001:2022의 요구 사항을 준수하는지 여부를 판단하는 것이 불가능합니다.
현재까지의 감사 보고서는 핵심 성과 지표 정보를 사용하여 ISMS 프로세스의 효율성에만 초점을 맞췄습니다. 이 진술은 조직이 9.1절에서 요구하는 ISMS 프로세스의 효율성을 평가하지 않는다는 것을 의미하므로 우려를 불러일으킬 수 있습니다. 효율성은 계획된 활동이 실현되고 계획된 결과가 달성되는 정도입니다2. 효율성은 달성된 결과와 사용된 자원 간의 관계입니다2. 두 가지 측면 모두 ISMS 성능과 개선을 측정하고 평가하는 데 중요합니다.
감사 프로그램은 이전 감사 결과를 고려하지 않습니다. 이 진술은 조직이 ISO 19011:20182에서 권장하는 대로 이전 감사 결과를 후속 감사 계획 및 수행을 위한 입력으로 사용하지 않는다는 것을 암시하기 때문에 우려를 불러일으킬 수 있습니다. . 이는 ISMS와 관련된 반복적이거나 해결되지 않은 문제나 부적합을 식별하고 해결하는 조직의 능력에 영향을 미칠 수 있습니다.
감사 프로그램에 따르면 ISMS에 대한 최고 경영진의 약속은 인증 방문 전에 감사되지 않습니다. 이 진술은 조직이 최고 경영진이 ISMS와 관련하여 리더십과 헌신을 입증하는지 확인하지 않는다는 것을 암시하기 때문에 우려를 불러일으킬 수 있습니다. 조항 5.1에 따라. 이는 ISMS 정책과 목표가 조직의 전략적 방향과 일치하고 확립되도록 보장하는 최고 경영진의 능력에 영향을 미칠 수 있습니다. 관련 역할에 대한 역할, 책임 및 권한이 할당되고 전달됩니다. ISMS에 필요한 자원을 사용할 수 있습니다. 정보 보안 문제에 관한 의사소통이 확립되었습니다. ISMS의 지속적인 개선이 촉진됩니다. 기타 관련 경영 검토는 정보 보안 검토와 일치합니다. 그리고 그 지원은 다른 관련 역할에 제공됩니다1.
다른 진술은 ISO/IEC 27001:2022 요구 사항 준수와 관련하여 우려를 일으키지 않습니다.
감사 보고서는 하드카피(예: 종이)로 보관되지 않습니다. 이는 조직의 인트라넷에 ".POF 문서로만 저장됩니다. 이 설명은 ISO/IEC 27001:2022 요구 사항에 대한 부적합을 의미하지 않으므로 우려할 필요가 없습니다. 표준은 문서화 또는 저장을 위한 특정 형식이나 매체를 규정하지 않습니다. 감사 보고서는 7.5항에 따라 통제되는 한.
감사 프로그램에서는 감사자가 ISO/IEC 27001:2022의 요구 사항을 충족하기 위해 감사하는 영역으로부터 독립적이어야 한다고 규정합니다. 이 진술은 ISO/IEC 27001:2022 요구 사항에 대한 부적합을 의미하지 않으므로 우려를 일으키지 않습니다. ISO 19011:20182에 따라 감사가 객관적이고 공정하게 수행되는 한 표준은 감사 독립성에 대한 특정 요구 사항을 규정하지 않습니다.
감사 프로그램은 감사 방법이나 감사 책임을 언급하지 않습니다. 이 설명은 ISO/IEC 27001:2022 요구 사항에 대한 부적합을 의미하지 않으므로 우려를 야기하지 않습니다. 표준은 ISO 19011:20182에 따라 정의되고 문서화되는 한 감사 프로그램에서 감사 방법이나 감사 책임을 참조하기 위한 특정 요구 사항을 규정하지 않습니다.
감사 프로세스에는 감사 결과가 최고 경영진이 아닌 '관련' 관리자에게 제공될 것이라고 명시되어 있습니다. 이 진술은 ISO/IEC 27001:2022 요구 사항에 대한 부적합을 의미하지 않으므로 우려할 사항이 아닙니다. 이 표준은 9.3절에 따라 감사 결과가 관련 당사자에게 보고되고 경영 검토를 위한 입력으로 사용되는 한 최고 경영진에게 감사 결과를 전달하기 위한 특정 요구 사항을 규정하지 않습니다.