情報セキュリティ監査とは？じょうほうせきゅりてぃかんさ
情報セキュリティ監査とは、組織の情報セキュリティ対策が適切に整備され、定めたとおりに運用されているかを、独立した立場の監査人が検証して評価・助言する活動。自組織の内部監査人が行う場合と外部の専門家が行う場合があり、経済産業省の情報セキュリティ監査基準が拠り所になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
規程を作った当人が「守れています」と述べても、それは自己申告にとどまり、経営や取引先に対する裏付けにはならない。運用している人から独立した立場の者が、証拠に基づいて確かめる仕組みが要るのはこのためである。利用部門の担当者にとっては、監査を受ける側として必要な文書をそろえ、インタビューに答え、指摘を是正処置につなぐ役回りが実務になる。
具体例
経済産業省が情報セキュリティ監査基準と情報セキュリティ管理基準を公表し、日本セキュリティ監査協会（JASA）が監査人の資格制度を運用している。実務では外部の監査法人にJIS Q 27001に照らした評価を依頼し、指摘と改善提言を受け取る。
試験での引っ掛け
独立性が要件であり、自部門の運用を自分で確認する自己点検は監査にあたらない。またISMSの認証審査とも別物で、審査は認証の可否を判定するもの、監査は保証や助言を目的とする。内部監査人であっても、自らが運用している業務は監査できない。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）
“情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。
正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。
要点：監査基準は行為規範、管理基準は判断の尺度
情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）
"情報セキュリティ監査基準"に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，…
正解：監査の対象＝情報資産，コンピュータを導入していない部署における監査実施の要否＝必要
要点：情報セキュリティ監査は情報資産全般が対象。紙の部署も必要
情報セキュリティ監査の対象は情報システムに限らず、紙の書類や人・設備を含む情報資産全般である。したがってコンピュータを導入していない部署であっても、そこで扱う情報資産の管理状況を確かめるため監査は必要となる。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問40（IPA）
経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監…
正解：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。
要点：保証型監査は結果の開示で利害関係者の信頼確保に役立つ
保証型の監査は、情報セキュリティ対策が基準に適合していることについて一定の保証を与えるもので、その結果を外部へ開示すれば利害関係者の信頼確保につながる。不特定多数の情報を扱うシステムのように説明責任が重い対象では、定期的な保証型監査と結果の開示が有用である。どちらの型で実施するかは監査要請者のニーズを踏まえて決めるものであり、順序が決まっているわけでもない。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問3（IPA）
情報セキュリティに係るリスクマネジメントが効果的に実施されるよう、リスクアセスメントに基づいた適切なコントロールの整備、運用状況を検証又は評価し、保証又は助言を…
正解：情報セキュリティ監査
要点：独立した立場でコントロールを検証し保証・助言するのが情報セキュリティ監査
独立かつ専門的な立場の実施者が、情報セキュリティのコントロールの整備状況・運用状況を検証・評価し、保証または助言を与える活動は情報セキュリティ監査である。独立性が要件となる点が、自己点検型の手法と決定的に異なる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”において，経営者がリーダシップを発揮し自ら行…
正解：b, c, d
要点：経営者の役割は方針策定・見直し・脅威動向の把握
ガイドラインでは、経営者自らが行うべき取組みとして、方針の明示（c）、対策の定期的な見直し（b）、新たな脅威に関する最新動向の収集（d）が挙げられている。いずれも組織の方向付けと資源配分に関わる判断であり、経営者のリーダシップが不可欠だからである。一方、監査計画の立案（a）は実務担当者や監査人が行う作業であり、経営者が自ら行うべき取組みには含まれない。
出典・参考
公式シラバスの〔要求される技能〕 ＞ 10コンプライアンスの運用 ＞ 10-2順守状況の評価と改善 コンプライアンスの運用（順守状況の評価・改善）の考え方を理解し，に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。