情報セキュリティ監査とは？じょうほうせきゅりてぃかんさ
情報セキュリティ監査とは、情報セキュリティに係るコントロールの整備状況と運用状況を、独立した立場から点検・評価する監査。経済産業省の情報セキュリティ管理基準を判断尺度に用い、結論を保証型（意見の表明）と助言型（改善の提言）のいずれかで示す。どちらを選ぶかで報告書の書きぶりと、そろえるべき監査証拠の強さが変わる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策の良否は当事者の自己申告では確かめられず、取引先や監督官庁へ説明する手段が無かった。独立した者が共通の尺度で点検し、結果を報告する仕組みとして制度化された経緯がある。読者にとっての要点は、同じ点検でも保証型と助言型で報告書の書きぶりと、必要になる証拠の強さが変わることにある。
具体例
経済産業省の情報セキュリティ監査制度では、特定非営利活動法人日本セキュリティ監査協会（JASA）が監査人の資格制度と実施基準の普及を担い、監査計画から報告書までの様式を示している。
試験での引っ掛け
判断尺度に使うのは「管理基準」で、被監査側が体制構築の際に参照するマネジメント基準側との対応が問われる。ISMS認証審査は認証機関による第三者認証で結論の型が固定されるが、情報セキュリティ監査は保証型か助言型かを依頼者と決められる点も違う。
関連用語
出た過去問
出典：平成29年度 春期 システム監査技術者試験 午前Ⅱ 問8（IPA）
情報セキュリティ監査基準(Ver1.0)に基づく保証型監査の意見表明において,監査人が必要と認めた監査手続が制約され,保証意見の合理的な根拠を得ることができなか…
正解：意見を表明しない。
要点：監査範囲の制約で合理的根拠を得られなければ意見を表明しない
保証型監査では、監査人は十分かつ適切な監査証拠に基づいてのみ意見を述べられる。監査範囲に制約があり合理的な根拠を得られなかった場合、その影響が広範であれば意見表明そのものを差し控える。限定付意見は制約の影響が限定的なときの対応であり、根拠が得られない状態で肯定・否定の意見を述べることはできない。
出典・参考
公式シラバスの1 システム監査の計画 ＞ 1-3 個別監査計画の策定に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。