情報セキュリティ監査基準とは？じょうほうせきゅりてぃかんさきじゅん
情報セキュリティ監査基準とは、経済産業省が定めた、情報セキュリティ監査を行う監査人が従うべき行為規範。監査人の独立性と客観性、正当な注意と守秘、監査計画の立て方、監査証拠の入手と評価、報告書の作成とフォローアップまでを規定する。何を評価するかを示す情報セキュリティ管理基準と対になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
監査は「誰がやってもおおむね同じ結論になる」という信頼があって初めて外部へ示せる。担当者の立場や力量で結論がぶれるなら、監査報告書を根拠に取引先や経営層へ安全性を説明することはできない。そこで監査人が守るべき手続と姿勢を先に定め、監査そのものの品質を担保している。sgの読者は監査を受ける側に立つことが多いため、監査人に何を要求できるかという形で問われる。
具体例
情報システム部門が自ら構築したアクセス管理を同じ部門の担当者が監査すると独立性を欠く。この基準に照らして内部監査室へ担当を移す、あるいは日本セキュリティ監査協会（JASA）の情報セキュリティ監査企業台帳に登録された事業者へ委託する、といった判断につながる。
試験での引っ掛け
管理基準との役割の違いが問われる。管理基準は対策のものさし、監査基準は監査人のふるまいのルールである。監査人は指摘や助言を行うが対策の実施責任は負わず、自ら実施すれば独立性を失う。結論を出す保証型と、改善案を示す助言型で報告の性格が変わる点も押さえておく。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）
“情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。
正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。
要点：監査基準は行為規範、管理基準は判断の尺度
情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）
"情報セキュリティ監査基準"に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，…
正解：監査の対象＝情報資産，コンピュータを導入していない部署における監査実施の要否＝必要
要点：情報セキュリティ監査は情報資産全般が対象。紙の部署も必要
情報セキュリティ監査の対象は情報システムに限らず、紙の書類や人・設備を含む情報資産全般である。したがってコンピュータを導入していない部署であっても、そこで扱う情報資産の管理状況を確かめるため監査は必要となる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問40（IPA）
経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監…
正解：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。
要点：保証型監査は結果の開示で利害関係者の信頼確保に役立つ
保証型の監査は、情報セキュリティ対策が基準に適合していることについて一定の保証を与えるもので、その結果を外部へ開示すれば利害関係者の信頼確保につながる。不特定多数の情報を扱うシステムのように説明責任が重い対象では、定期的な保証型監査と結果の開示が有用である。どちらの型で実施するかは監査要請者のニーズを踏まえて決めるものであり、順序が決まっているわけでもない。
出典・参考
公式シラバスの6 サービスマネジメント ＞ 1 システム監査 ＞ 情報セキュリティ監査に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。