情報セキュリティマネジメント 2016年 春期 午前（科目A） 問39

情報資産の監査対象【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「監査の対象」と「コンピュータを導入していない部署」。
2. 用語の意味を押さえる：
   • 情報資産：情報そのもの、紙文書、担当者の知識、業務プロセス、情報システム（サーバ・ネットワーク）などを含む。
   • 情報システム：コンピュータやソフトウェア、ネットワークなど、主にIT機器に限定される。
3. 「監査の対象」が広いか狭いかで、コンピュータ非導入部署の必要性を判断する。
4. 広義の「情報資産」を対象とする場合は、IT機器が無くても監査が必要と結論づける。

選択肢別の誤答解説

• ア（情報資産／必要）
  正しい。情報資産はIT以外を含むため、コンピュータ非導入部署でも監査対象になり得る。
• イ（情報資産／不要）
  誤り。情報資産に紙文書や業務知識が含まれるため、ITがなくても監査を不要とする理由にならない。
• ウ（情報システム／必要）
  誤り（成立しにくい）。情報システムを監査対象とすると、IT機器やソフトに焦点が当たるため、コンピュータがない部署は通常監査対象外となる。ただし、その部署が情報システムに関連する業務（例えばシステム運用手順の記録管理など）を持つ場合は例外的に監査の対象になることはある。
• エ（情報システム／不要）
  誤り。情報システムを対象として監査しないとする選択は、監査自体の目的（情報の機密性・完全性・可用性の確保）と整合しない。問題文の組合せとしては適切でない。

よくある誤解

• 「コンピュータがなければ情報セキュリティの監査は不要」と考える誤解
  → 情報は紙や人の記憶にも存在します。これらも情報資産であり、リスク（紛失・不正閲覧・廃棄ミスなど）は存在します。
• 「監査＝技術的チェックだけ」と考える誤解
  → 監査は手順や組織運用、物理管理（鍵・施錠）や人の行動も対象です。技術面だけではありません。

補足コラム

• 人事部の人事ファイル（紙）→アクセス権管理、保管場所の施錠、廃棄手順を確認
• 総務の契約書（紙）→機密区分、閲覧記録、持ち出しルールを確認
• 営業の顧客リスト（Excel手作業）→バックアップ・持ち出し管理・暗号化の有無を確認

FAQ