情報セキュリティ監査とは？じょうほうせきゅりてぃかんさ
情報セキュリティ監査とは、組織の情報セキュリティ対策が、方針や基準、法令に照らして適切に整えられ、実際にそのとおり運用されているかを、独立した立場の監査人が確かめて意見を述べる活動。自組織の監査部門が行う内部監査と、外部の専門機関に依頼する外部監査があり、結果は経営層への報告と対策の改善に使われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
対策は決めた時点では正しくても、担当者が代わり業務が変わるうちに、決めたとおりには運用されなくなる。当事者が自分で点検しても、慣れや都合で見落としが起きる。第三者の目で確かめ、経営層へ直接報告する経路を作ることで、この緩みを外から正すのが監査である。試験では、独立性が求められる理由と、監査の狙いが処罰ではなく改善にある点が問われる。
具体例
内部監査部門が各部署のアクセス権限の設定を抜き打ちで確認し、退職者や異動者のアカウントが残っていないかを調べる。取引先から対策状況の提示を求められる場面では、外部の専門機関による監査を受け、その結果を示して説明することもある。
試験での引っ掛け
監査を行う人が監査対象の業務を兼ねていると独立性が保てず、監査そのものが意味を失う点が問われやすい。また監査は不正を摘発して罰するためではなく、問題を見つけて改善につなげる活動である。監査人が担うのは指摘と改善の提案、その後の確認までで、対策を実施する当事者にはならない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 ITパスポート試験 問40（IPA）
出典：平成30年度 秋期 ITパスポート試験 問45（IPA）
出典：平成31年度 春期 ITパスポート試験 問50（IPA）
ある事業者において、情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として、最も適切なものはどれか。
正解：保有している全ての情報資産
要点：情報セキュリティ監査は紙も含む全情報資産が対象
情報セキュリティ監査は、組織が守るべき情報資産の管理状況を点検するものであり、対象は情報システムの中にあるデータに限られない。紙の書類、記録媒体、口頭で扱われる情報なども情報資産であり、取得から利用・保管・廃棄までのライフサイクルを通じて適切に管理されているかが問われる。したがって、保有するすべての情報資産が対象となる。
出典：令和5年度 秋期 ITパスポート試験 問52（IPA）解説で登場
会計監査の目的として、最も適切なものはどれか。
正解：日常の各種取引の発生から決算報告書への集計に至るまで、不正や誤りのない処理が行われていることを確認する。
要点：会計監査は会計処理に不正や誤りがないかを確かめる
会計監査は、取引の発生から決算報告書の作成に至る一連の会計処理に、不正や誤りがないかを確かめることを目的とします。ITガバナンスの確認はシステム監査、情報の安全管理の確認は情報セキュリティ監査、業務全般の効率性の確認は業務監査の目的です。
出典：令和7年度 秋期 ITパスポート試験 問38（IPA）
情報セキュリティ監査の説明として、最も適切なものはどれか。
正解：組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価
要点：情報セキュリティ監査はリスク管理の有効性を独立して検証
情報セキュリティ監査は、組織の情報資産に関するリスクマネジメントが有効に機能しているかを、独立した立場から検証・評価する活動である。保証を目的とする監査と助言を目的とする監査があり、いずれも情報セキュリティ管理策の妥当性と運用状況を対象とする。IT全般の統治を扱うシステム監査より、対象がセキュリティに絞られる点が特徴である。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 31. システム監査 ＞ (1) 監査業務に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。