情報セキュリティ監査基準とは？

情報セキュリティ監査基準の意味

情報セキュリティ監査を行う人が守るべき、監査人の独立性や能力、監査計画、証拠の集め方、報告の仕方を定めた行為規範。何を評価するかを示す情報セキュリティ管理基準と対になり、監査の品質を保つ役割を持つ。

情報セキュリティ監査基準の具体例

監査を担当する部署が、自ら構築したアクセス管理の仕組みをそのまま監査してしまうと独立性を欠く。この基準に照らして担当を入れ替える、あるいは外部の監査人へ依頼する、といった判断につながり、監査結果の信頼性が保たれる。

情報セキュリティ監査基準は試験でどう引っ掛けられる？

管理基準との役割の違いが問われる。管理基準は「対策のものさし」、監査基準は「監査人のふるまいのルール」。監査人が対策の実施責任を負うわけではない点にも注意する。

情報セキュリティ監査基準と関連する用語

• 情報セキュリティ監査
• 情報セキュリティ管理基準
• 内部監査

情報セキュリティ監査基準が出た過去問

• “情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。

  正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。

  要点：監査基準は行為規範、管理基準は判断の尺度

  情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）

• "情報セキュリティ監査基準"に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，…

  正解：監査の対象＝情報資産，コンピュータを導入していない部署における監査実施の要否＝必要

  要点：情報セキュリティ監査は情報資産全般が対象。紙の部署も必要

  情報セキュリティ監査の対象は情報システムに限らず、紙の書類や人・設備を含む情報資産全般である。したがってコンピュータを導入していない部署であっても、そこで扱う情報資産の管理状況を確かめるため監査は必要となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監…

  正解：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。

  要点：保証型監査は結果の開示で利害関係者の信頼確保に役立つ

  保証型の監査は、情報セキュリティ対策が基準に適合していることについて一定の保証を与えるもので、その結果を外部へ開示すれば利害関係者の信頼確保につながる。不特定多数の情報を扱うシステムのように説明責任が重い対象では、定期的な保証型監査と結果の開示が有用である。どちらの型で実施するかは監査要請者のニーズを踏まえて決めるものであり、順序が決まっているわけでもない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問40（IPA）