ITパスポート 2025年 問38

情報セキュリティ監査の説明 【ITパスポート 解説】

正解の理由

• 監査：組織の活動がルールや基準に従っているかを独立に確認する行為
• リスクマネジメント：危険（リスク）を識別・評価し、対策を講じる一連の活動
• 情報資産：顧客情報、設計データ、システムなど、組織にとって価値のある情報や設備

解法ステップ

1. 問題文のキーワードを確認：「情報セキュリティ監査」「検証又は評価」「リスクマネジメント」。
2. 各選択肢がそのキーワードに当てはまるかを照らし合わせる。
3. 「監査」は評価・検証を行う行為であり、特に情報セキュリティ監査は情報に関するリスク管理の有効性を見ます。これと一致する選択肢がどれかを選ぶ。
4. 選択肢を順に除外していき、最終的にリスクマネジメントの検証を示す エ を正解とする。

選択肢別の誤答解説

• ア: 「一定の基準に基づいてITシステムの利活用に係る検証・評価を行い、ガバナンスの適切性などに対する保証や改善のための助言を行うもの」
  • 解説：これは「IT監査」に近い説明です。IT監査は業務効率やITガバナンス（組織の意思決定や管理が適切に行われているかを示す仕組み）全般を対象にすることが多く、情報セキュリティ監査より幅広い。よって不適切です。
• イ: 「コンピュータの盗難や不正な持出しを物理的に防止し、情報セキュリティを確保するためのツール」
  • 解説：これは物理的セキュリティ対策やツール（例：ロック、入退室管理システム）に関する説明であり、「監査」そのものではありません。監査は評価・検証行為です。
• ウ: 「組織体の価値及び組織体への信頼を向上させるために、組織体におけるITシステムの利活用のあるべき姿を示すIT戦略と方針の策定及びその実現のための活動」
  • 解説：これはIT戦略や方針の策定（ガバナンスやITポリシーの立案）に関する説明で、監査とは別の役割です。監査は既存の実施状況を評価します。

よくある誤解

1. 「監査は問題を直接『直す』作業だ」という誤解
   • 監査は問題点を発見・評価・報告する役割です。是正措置（問題を直す行為）は通常、各部署や経営が行います。
2. 「監査＝侵入テスト（ペネトレーションテスト）」という誤解
   • 侵入テストは実際に攻撃を模して脆弱性を探す技術的調査です。監査はリスク管理や手続き・運用の有効性を評価する行為で、目的や手法が異なります。
3. 「監査は技術だけを見る」
   • 監査は技術面だけでなく、組織の方針、手続、教育、責任分担なども評価します。

補足コラム

• ISMS（情報セキュリティマネジメントシステム：情報を守るための仕組み）と監査
  • 組織がISMSを導入している場合、定期的な内部監査や外部監査（第三者による監査）が行われます。外部監査は認証機関が行い、例えばISO/IEC 27001（情報セキュリティの国際規格）に基づく認証取得の可否を判断します。
• 内部監査と外部監査の違い
  • 内部監査：組織内部の独立した部門や担当者が実施し、改善のための助言が目的。
  • 外部監査：外部の第三者が実施し、規格適合や法令遵守の証明・評価が目的。
• 監査の基本的な流れ（シンプル）
  1. 監査計画の作成（何を、いつ評価するか）
  2. 証拠収集（文書確認、聞き取り、ログ確認など）
  3. 評価・分析
  4. 報告書作成（発見事項、リスク評価、改善提案）
  5. 是正措置のフォローアップ

FAQ