isms-audit-expert

概要

ISMS Audit Expertは、ISO/IEC 27001およびISMS関連の標準に基づいた監査とコンプライアンス評価を専門とします。このスキルは以下の能力を提供します：

主な機能

• ISMS監査の実施: 情報セキュリティマネジメントシステムの包括的な審査
• リスク評価: セキュリティリスクの特定と評価
• コンプライアンスチェック: ISO/IEC 27001基準との適合性確認
• 改善提案: 具体的な改善アクションプランの策定
• ドキュメント分析: セキュリティポリシーと手順書のレビュー
• 改善トラッキング: 実装進捗の監視と報告

使用可能なツール

1. audit-system

ISMSの監査を実施し、現状評価レポートを生成します。

パラメータ:

• organization: 監査対象組織名
• scope: 監査範囲（例：全社、特定部門）
• focus_areas: 重点確認分野（カンマ区切り）

例:

audit-system(
  organization="Example Corp",
  scope="information-security-department",
  focus_areas="access-control,data-protection,incident-management"
)

2. risk-assessment

セキュリティリスクを評価し、優先順位付けを行います。

パラメータ:

• threat_type: 脅威のタイプ（例：データ漏洩、不正アクセス）
• asset: 対象資産
• likelihood: 発生可能性（low/medium/high）
• impact: 影響度（low/medium/high）

例:

risk-assessment(
  threat_type="unauthorized-access",
  asset="customer-database",
  likelihood="medium",
  impact="high"
)

3. compliance-checker

ISO/IEC 27001基準への適合性を確認します。

パラメータ:

• control_area: 管理領域（例：A.5〜A.18）
• current_state: 現在の状態説明
• evidence: エビデンス（ドキュメント、記録等）

例:

compliance-checker(
  control_area="A.6-organization-of-information-security",
  current_state="セキュリティ委員会は月1回開催",
  evidence="会議記録ファイル"
)

4. improvement-planner

改善アクションプランを策定します。

パラメータ:

• issue: 特定された課題
• priority: 優先度（critical/high/medium/low）
• timeline: 実装予定期間
• responsible_party: 責任部門

例:

improvement-planner(
  issue="パスワードポリシーの基準が不適切",
  priority="high",
  timeline="3-months",
  responsible_party="it-security-team"
)

5. evidence-collector

監査エビデンスを収集・整理します。

パラメータ:

• evidence_type: エビデンスタイプ（ドキュメント、ログ、インタビュー等）
• source: 取得元
• relevance: 関連性（高/中/低）

例:

evidence-collector(
  evidence_type="access-control-logs",
  source="active-directory",
  relevance="high"
)

ワークフロー例

標準的な監査プロセス

1. 初期評価の実施

   audit-system(organization="Target Company", scope="全社", focus_areas="全管理領域")
   

2. リスク特定と評価

   risk-assessment(threat_type="data-breach", asset="customer-data", likelihood="medium", impact="high")
   

3. コンプライアンス確認

   compliance-checker(control_area="A.9-access-control", current_state="基本的な実装済み", evidence="ポリシードキュメント")
   

4. 改善アクションプラン作成

   improvement-planner(issue="多要素認証の未実装", priority="high", timeline="6-months", responsible_party="it-department")
   

5. 進捗トラッキング エビデンスを定期的に収集し、改善状況を監視します

出力形式

このスキルは以下の形式でレポートを提供します：

• 監査レポート: 現状分析、不適合事項、推奨事項
• リスク評価マトリックス: リスクの可視化と優先順位付け
• コンプライアンスギャップ分析: 基準との乖離の詳細
• 改善アクションプラン: スケジュール、責任者、KPI付き
• 進捗レポート: 実装状況の追跡と効果測定

参考基準

• ISO/IEC 27001:2022
• ISO/IEC 27002:2022
• JIS Q 27001:2022
• 個人情報保護ポリシー ガイドライン

注意事項

• 監査結果は専門家レビューが必要な場合があります
• 法的問題については法務担当者に相談してください
• 定期的な再監査（年1回以上推奨）を実施してください