情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問40

情報セキュリティ監査基準【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のポイントを把握する：この問題は「監査基準が何を基準に判断するか」を問うている。
2. 各選択肢の主張の妥当性を検討する：監査基準の目的（評価基準、監査人の役割、独立性、支援の可否）と照らし合わせる。
3. 監査の役割を思い出す：監査は管理策の適合性・有効性を第三者視点で評価する活動であり、評価の「ものさし」は管理基準であると結論づける。
4. 最終的に、管理基準を尺度とする選択肢（ウ）を正答とする。

選択肢別の誤答解説

• ア: 「監査基準が国際規格と同一で策定・更新されている」
  誤りです。国際規格（例：ISO/IEC 27001）は情報セキュリティマネジメントシステム（ISMS：Information Security Management System：情報セキュリティマネジメントシステム）の要求事項を示しますが、監査基準は監査を行うためのルールや手順、判断尺度などを定めます。内容が完全に同一という主張は成り立ちません。監査基準は国際規格を参照することはあっても、同一とは限りません。
• イ: 「監査人は他の専門家の支援を受けてはならない」
  誤りです。監査人は必要に応じて技術的専門家や分野別の専門家の支援を受けることが認められています。重要なのは、支援を受ける場合でも監査責任は監査人にあり、支援者の意見を鵜呑みにせず独自に評価・判断することです。
• ウ: 「判断の尺度には原則として情報セキュリティ管理基準を用いる」
  正しいです。監査は管理基準（組織が定めた方針・基準や外部の管理基準）を尺度にし、それに対する適合性や有効性を評価します。
• エ: 「監査は高度な技術的専門性が求められるので監査人に独立性は不要」
  誤りです。監査の独立性（監査対象から離れた立場で評価すること）は基本要件です。技術的専門性の有無にかかわらず、独立性がなければ公正な評価はできません。必要な技術的知識は支援者で補えますが、独立性は監査の信頼性を支える柱です。

よくある誤解

1. 「監査＝技術チェックだけ」と考える誤解
   監査は単なる技術点検ではなく、組織の方針や管理策が適切に運用され、目的を達成しているか（有効性）を評価する活動です。技術は要素の一つに過ぎません。
2. 「監査人は全て自分で専門的に判断しなければならない」と考える誤解
   専門知識が必要な分野は外部の専門家を使ってよいです。ただし、監査人がそれを総合的に評価し、最終判断の責任を負う点を誤解してはいけません。
3. 「監査基準＝管理基準」と混同する誤解
   監査基準は監査のやり方や要件、判断の基準を示すもので、管理基準は守るべき管理策やセキュリティ水準を示すものです。役割が異なります。

補足コラム

• 監査と管理基準の現場イメージ
  会社で例えると、情報セキュリティ管理基準は「社内ルール（鍵の管理、アクセス権付与の手順など）」、監査基準は「そのルールに従っているかをチェックする評価基準と手順書」です。監査人はルールに沿っているか、運用が記録されているか、改善が行われているかを証拠（ログ、記録、面談）で確認します。
• 専門家の活用例
  暗号やネットワーク等の高度な技術評価では、専門家（外部コンサルタントや技術者）に解析を依頼することがあります。監査人はその結果を踏まえつつ、監査基準に照らして総合的に判断します。
• ISMSとの関係
  ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、情報資産を守るための仕組み全体を指します。ISMSの要求事項を満たしているかどうかを評価する際にも、監査基準が用いられますが、監査基準自体は組織や監査の目的に応じて設計されます。

FAQ