令和3年度 秋期 応用情報技術者試験 午前 問題 問57

経済産業省の「情報セキュリティ監査基準 実施基準ガイドライン」における、保証型の監査と助言型の監査の実施に関する問題です。

• 保証型の監査: 情報セキュリティ対策が適切に講じられていることを確認し、一定の保証を付与することを目的とします。
• 助言型の監査: 情報セキュリティ対策の改善に役立つ助言を行うことを目的とします。

不特定多数の利害関係者の情報を取り扱う情報システムにおいては、そのシステムが安全に運用されていること（対策の適切性）を客観的に示すことが強く求められます。したがって、定期的に保証型の監査を実施し、その結果を開示して関係者の安心を得ることが有用です。よって、選択肢エが適切です。

各選択肢の解説

• ア: 誤り。同じ監査対象に対して情報セキュリティ監査を実施する場合、必ずしも保証型の監査から手がける必要はありません。組織の状況やニーズに応じて、例えば現状の課題を把握するために先に助言型の監査を行い、改善を図った後に保証型の監査を実施するなど、目的に応じた順序で実施することができます。
• イ: 誤り。保証型の監査と助言型の監査は完全に排他的なものではありません。1回の監査業務の中で、特定の領域については保証を付与しつつ、別の領域については改善のための助言を行うといった組み合わせでの実施も可能です。
• ウ: 誤り。情報セキュリティ監査を保証型で実施するか助言型で実施するかは、監査人が自らの責任において一方的に決定するのではなく、監査要請者（経営陣など）のニーズに基づいて決定されます。
• エ: 正解。不特定多数の利害関係者が存在するシステムでは、外部に対する説明責任を果たすため、保証型の監査を定期的に実施し、その結果を開示することが非常に有用となります。