情報セキュリティマネジメント 2019年 春期 午前（科目A） 問40
問題文
経済産業省“情報セキュリティ監査基準実施基準ガイドライン（Ver1.0）”における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監査（保証型の監査）と情報セキュリティ対策の改善に役立つ助言を行うことを目的とする監査（助言型の監査）の実施に関する記述のうち、適切なものはどれか。
選択肢
ア：同じ監査対象に対して情報セキュリティ監査を実施する場合、保証型の監査から手がけ、保証が得られた後に助言型の監査に切り替えなければならない。
イ：情報セキュリティ監査において、保証型の監査と助言型の監査は排他的であり、監査人はどちらで監査を実施するかを決定しなければならない。
ウ：情報セキュリティ監査を保証型で実施するか助言型で実施するかは、監査要請者のニーズによって決定するのではなく、監査人の責任において決定する。
エ：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。（正解）
🔒 解説は解答すると表示されます
保証型と助言型監査区分【情報セキュリティマネジメント解説】
正解の理由
情報システムが不特定多数の利害関係者（顧客、取引先、社会など）の情報を取り扱う場合、第三者による「一定の保証（assurance：期待される水準に達していることを示す）」を定期的に示すことが信頼獲得に有効です。経済産業省のガイドラインもこの考え方を踏まえ、公開や定期的な保証型監査の実施が有用であることを示しています。したがって、選択肢のエが適切です。
（用語補足）監査（audit：第三者が手続きや記録を調べて評価する行為）、保証型監査（一定の保証を与える監査）、助言型監査（改善のための助言を行う監査）
解法ステップ
- 監査の「目的」を確認する。信頼性を示すのが目的なら保証型、改善を促すのが目的なら助言型。
- 対象システムの「利害関係者」を確認する。不特定多数が関与する場合は外部向けの説明責任が重要。
- ガイドラインや規程の趣旨を照らす。公開や定期性が求められる場合は保証型がふさわしい。
- 選択肢と照合する。制度趣旨に合致する記述を選ぶ。
試験では「目的（保証か助言か）」「対象の性質（不特定多数か否か）」の二点を意識すると正答に近づきます。
選択肢別の誤答解説
- ア: 同じ監査対象に対して必ず保証型→助言型に順序付ける必要はありません。監査の目的や依頼者のニーズに応じて順序や併用が決まります。業務上は改善が先で保証を目指す場合もあります。
- イ: 保証型と助言型が完全に排他的だというのは誤りです。監査計画によっては主に保証型で実施しつつ、発見事項について助言的な指摘を行うことがあります。区分は目的の違いを示すものであり、両方の要素が入る場合もあります。
- ウ: 監査を保証型か助言型かを決めるのは監査人だけではありません。監査要請者（経営層や関係部門、外部利害関係者の期待）や監査の目的に基づいて決まるべきです。監査人は専門的助言を行いますが、目的調整はステークホルダーと合意して進めます。
- エ: 不特定多数の利害関係者があるシステムに対し、定期的に保証型監査を実施して結果を開示することは、説明責任と信頼確保に有用であるため適切です。
よくある誤解
- 監査は「保証型か助言型か、どちらか一方だけ」と考える誤解。実務では目的に応じて両要素を組み合わせることがあるため柔軟に理解する必要があります。
- 監査タイプは監査人が一方的に決めるものという誤解。実際は監査要請者の目的や利害関係者の期待を反映して決めます。
補足コラム
職場での運用イメージ：顧客情報を扱うクラウドサービスを提供する部署なら、年次で第三者による保証型監査（外部の監査報告書や証明書の取得）を行い、要点を公開します。日常的には内部レビューや助言型の外部診断を併用し、監査で指摘された改善点を運用に落とし込みます。
公開時の注意点：監査結果をそのまま全公開すると機微な脆弱性情報が漏れる恐れがあります。要旨や適用範囲、改善計画を中心に開示し、詳細は関係者限定にする運用が一般的です。
公開時の注意点：監査結果をそのまま全公開すると機微な脆弱性情報が漏れる恐れがあります。要旨や適用範囲、改善計画を中心に開示し、詳細は関係者限定にする運用が一般的です。
FAQ
Q. 保証型監査はどのくらいの頻度で行うべきですか？
A. システムの重要度やリスクによりますが、不特定多数の利害関係者が関わる場合は年次や年１〜２回の定期実施が一般的です。リスクの高い変更時には追加実施します。
A. システムの重要度やリスクによりますが、不特定多数の利害関係者が関わる場合は年次や年１〜２回の定期実施が一般的です。リスクの高い変更時には追加実施します。
Q. 助言型監査だけで足りないケースはありますか？
A. 外部ステークホルダーへの説明責任や契約上の信頼性担保が必要な場合、助言型だけでは不十分で、保証型の第三者評価が求められます。
A. 外部ステークホルダーへの説明責任や契約上の信頼性担保が必要な場合、助言型だけでは不十分で、保証型の第三者評価が求められます。
Q. 監査結果は全部公開すべきですか？
A. 全公開は推奨されません。要旨や評価の結論、改善計画を公開し、詳細な技術情報は限定公開にします。
A. 全公開は推奨されません。要旨や評価の結論、改善計画を公開し、詳細な技術情報は限定公開にします。
関連キーワード: 監査方式、保証型監査、助言型監査、監査対象選定、開示方針、利害関係者対応
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！