情報セキュリティマネジメント 2016年 春期 午前（科目A） 問03

情報セキュリティ監査【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文からキーワードを拾う：独立、専門的、検証・評価、保証・助言、リスクアセスメントに基づくコントロール。
2. 各選択肢の定義を思い出す（短くで良い）：
   • CSA（コントロールセルフアセスメント）＝対策担当者が自ら評価する方法（独立性が低い）
   • 情報セキュリティ監査＝独立して評価・保証を行う活動（独立性と専門性あり）
   • ベンチマーク＝他社や基準との比較（診断的だが保証まではしない）
   • デジタルフォレンジックス＝事故時の技術的調査（証拠収集が主）
3. 「独立」「保証」という語に合致する選択肢を選ぶ。これで イ が残る。

選択肢別の誤答解説

• ア: コントロールセルフアセスメント（CSA：Control Self-Assessment）
  CSAは、業務担当者や部署が自分たちのコントロール（対策）の有効性を自己点検する手法です。現場の理解促進や継続的改善に有効ですが、評価者が実施者と同一であるため「独立性が低い」です。したがって、外部に対する保証や独立した助言を求める場面の正解にはなりません。
• イ: 情報セキュリティ監査（正答）
  監査人は、評価対象の組織運用から独立した立場で証拠を集め、コントロールの有効性を検証します。監査は評価結果を経営層に報告し、保証（assurance）や助言を行う役割があるため、設問の条件に合致します。
• ウ: 情報セキュリティ対策ベンチマーク
  ベンチマークは、自社の対策を業界標準や他社と比較して差分を見つける手法です。改善点は分かりますが、監査のように独立して証明・保証する役割ではなく、専門監査の代替にはなりません。
• エ: デジタルフォレンジックス（Digital Forensics：デジタル機器の証拠保全・解析）
  フォレンジックスは、インシデント発生時の証拠収集や解析（原因調査）に特化した技術的な活動です。事後調査には重要ですが、日常のコントロールの独立評価や保証を行う役割とは性格が異なります。

よくある誤解

1. 「監査は単に不正を見つけるためのもの」
   → 監査は不正発見だけが目的ではなく、対策の有効性を客観的に評価して経営に保証や改善提言を行うことが目的です。改善のための助言も重要な役割です。
2. 「CSAがあれば監査はいらない」
   → CSAは現場の気づきを増やしますが、利害関係の違いから独立した保証力は限定的です。外部利害関係者や経営層への信頼提供には監査が必要になることが多いです。
3. 「フォレンジックスは監査の一部で使える」
   → 技術的証拠の解析が監査で参考になることはありますが、フォレンジックス自体は監査の主目的（評価と保証）を代替するものではありません。

補足コラム

• 監査の実施体制の例：
  小規模組織では、内部監査担当が業務の一部を監査する場合がありますが、監査の独立性を確保するために「監査対象の業務を直接管理しない」人を配置することが求められます。大企業では内部監査部門や外部監査人（第三者）が監査を行い、ISMS（Information Security Management System：情報セキュリティマネジメントシステム）認証のための審査も第三者が行います。
• 実務での運用イメージ：
  1. リスクアセスメントで重要資産・リスクを洗い出す
  2. 対策（コントロール）を導入・運用する（現場）
  3. CSAで現場が定期的に自己点検する（改善の第一歩）
  4. 独立した監査で証拠を集めて評価・報告する（保証）
  5. 問題があれば是正し、PDCAを回す（改善）
• 監査人のスキル：
  監査人は情報セキュリティの専門知識だけでなく、証拠の収集・評価方法、規程の読み取り、報告書作成能力が必要です。外部監査人は客観性を担保しやすく、内部監査は組織特有の運用を深く理解しています。

FAQ