情報セキュリティ監査基準(Ver 1.0)における、情報セキュリティに保証を付与することを目的とした監査(保証型の監査)と、情報セキュリティに対して助言を行うことを目的とした監査(助言型の監査)とに関する記述のうち、適切なものはどれか。

選択肢

• ア助言型の監査とは、監査上の判断の尺度として情報セキュリティ管理基準を利用するか否かにかかわらず、情報セキュリティ上の問題点の指摘と改善提言は監査人の自由裁量で行う監査のことである。
• イ助言型の監査とは、監査対象の情報セキュリティに関するマネジメントやコントロールの適切な運用を目的として、情報セキュリティ上の問題点について改善を命令する監査のことである。
• ウ保証型の監査とは、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査のことである。
• エ保証型の監査とは、監査の結論としてインシデントが発生しないことをステークホルダに対して保証する監査のことである。

正解と解説

正解：ウ 保証型の監査とは、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査のことである。

情報セキュリティ監査基準では、保証型の監査は実施した監査手続の範囲において、監査対象のマネジメントやコントロールが適切であるか否かについて監査人が意見を表明するものとされる。あくまで手続を実施した限りにおける保証であり、インシデントが起きないことまで保証するものではない。助言型の監査は改善提言を目的とするもので、命令する権限はなく、判断尺度も明示して行われる。

選択肢ごとの解説

• ア助言型でも監査上の判断尺度は明示して用いる必要があり、指摘や提言が完全な自由裁量になるわけではない。
• イ監査人は独立した立場で助言・提言を行う立場であり、改善を命令する権限はない。
• ウ正しい。保証型の監査は、実施した監査手続の限りにおいて適切か否かを保証するものである。
• エインシデントが発生しないことの保証は監査の範囲を超えており、保証型監査の定義ではない。

この問題に出た用語

• インシデント
• 情報セキュリティ管理

同じ分野の他の問題

• 労働基準法で定める制度のうち、いわゆる36協定と呼ばれる労使協定に関する制度はどれか。2025年度 春期 午前Ⅱ 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前Ⅱ 問14
• システム監査基準(令和5年)におけるシステム監査基準の説明として、適切なものはどれか。2024年度 春期 午前Ⅱ 問14
• ユーザーから請け負うソフトウェア開発を下請事業者に委託し、下請代金支払遅延等防止法の適用を受ける場合に禁止されている行為…2023年度 春期 午前Ⅱ 問25
• システム管理基準（平成30年）に基づく、ITガバナンスにおける情報システムの資源管理の監査で判明した経営陣の対応のうち、…2023年度 春期 午前Ⅱ 問14