情報セキュリティ監査とは？

情報セキュリティ監査の意味

組織の情報セキュリティ対策が、定めた方針や基準、法令等に照らして適切に整備・運用されているかを、独立した立場の監査人が客観的に評価する活動。組織内部の監査部門が行う「内部監査」と、外部の専門機関が行う「外部監査」があり、監査結果は経営層への報告や対策の改善に活用される。監査人は監査対象部門から独立した立場であることが、監査の客観性・信頼性を保つうえで不可欠とされる。

情報セキュリティ監査の具体例

内部監査部門が各部署のアクセス権限設定を抜き打ちで確認し、退職者のアカウントが削除されずに残っていないかをチェックする。

情報セキュリティ監査は試験でどう引っ掛けられる？

監査を行う人が監査対象の業務を兼務していると独立性が保てず、監査の意味が薄れる点が問われやすい。

情報セキュリティ監査と関連する用語

• 情報セキュリティポリシー
• コンプライアンス
• リスクマネジメント
• ISMS

情報セキュリティ監査が出た過去問

• 監査を，業務監査，システム監査，情報セキュリティ監査に分類したとき，監査の目的に関する記述a～dと監査の種類の適切な組合せはどれか。 a 財務諸表がその組織体の…

  正解：業務監査：d　システム監査：b　情報セキュリティ監査：c

  要点：財務諸表の適正性評価は会計監査で、3分類には含まれない

  財務諸表の適正性を評価するのは会計監査であり、選択肢の3分類には含まれない。会計業務以外の業務全般の遂行状況を評価するのが業務監査、情報システムに関わるリスクへの統制を評価するのがシステム監査、情報セキュリティのリスクマネジメントに関する統制を評価するのが情報セキュリティ監査である。

  出典：平成28年度 秋期 ITパスポート試験 問40（IPA）

• 監査役が行う監査を、会計監査、業務監査、システム監査、情報セキュリティ監査に分けたとき、業務監査に関する説明として、最も適切なものはどれか。

  正解：取締役が法律及び定款に従って職務を行っていることを監査する。

  要点：監査役の業務監査は取締役の職務が法令・定款に沿うかを見る

  監査役は取締役の職務執行を監査する立場にあり、その中身は会計に関する監査と、それ以外の職務全般に関する監査に分かれる。後者が業務監査で、取締役が法令や定款、株主総会の決議に従って適正に職務を行っているかを確かめるものである。会計帳簿の適正性、情報システムの有効性、情報資産の安全管理は、それぞれ別の監査が扱う。

  出典：平成30年度 秋期 ITパスポート試験 問45（IPA）

• ある事業者において、情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として、最も適切なものはどれか。

  正解：保有している全ての情報資産

  要点：情報セキュリティ監査は紙も含む全情報資産が対象

  情報セキュリティ監査は、組織が守るべき情報資産の管理状況を点検するものであり、対象は情報システムの中にあるデータに限られない。紙の書類、記録媒体、口頭で扱われる情報なども情報資産であり、取得から利用・保管・廃棄までのライフサイクルを通じて適切に管理されているかが問われる。したがって、保有するすべての情報資産が対象となる。

  出典：令和1年度 春期 ITパスポート試験 問50（IPA）

• 会計監査の目的として、最も適切なものはどれか。

  正解：日常の各種取引の発生から決算報告書への集計に至るまで、不正や誤りのない処理が行われていることを確認する。

  要点：会計監査は会計処理に不正や誤りがないかを確かめる

  会計監査は、取引の発生から決算報告書の作成に至る一連の会計処理に、不正や誤りがないかを確かめることを目的とします。ITガバナンスの確認はシステム監査、情報の安全管理の確認は情報セキュリティ監査、業務全般の効率性の確認は業務監査の目的です。

  出典：令和5年度 秋期 ITパスポート試験 問52（IPA）

• 情報セキュリティ監査の説明として、最も適切なものはどれか。

  正解：組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価

  要点：情報セキュリティ監査はリスク管理の有効性を独立して検証

  情報セキュリティ監査は、組織の情報資産に関するリスクマネジメントが有効に機能しているかを、独立した立場から検証・評価する活動である。保証を目的とする監査と助言を目的とする監査があり、いずれも情報セキュリティ管理策の妥当性と運用状況を対象とする。IT全般の統治を扱うシステム監査より、対象がセキュリティに絞られる点が特徴である。

  出典：令和7年度 秋期 ITパスポート試験 問38（IPA）