ITサービスマネージャ 2021年午前2 問14

問題文

情報セキュリティ監査基準（Ver 1.0）における、情報セキュリティに保証を付与することを目的とした監査（保証型の監査）と、情報セキュリティに対して助言を行うことを目的とした監査（助言型の監査）とに関する記述のうち、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：助言型の監査とは、監査上の判断の尺度として情報セキュリティ管理基準を利用するか否かにかかわらず、情報セキュリティ上の問題点の指摘と改善提言は監査人の自由裁量で行う監査のことである。

イ：助言型の監査とは、監査対象の情報セキュリティに関するマネジメントやコントロールの適切な運用を目的として、情報セキュリティ上の問題点について改善を命令する監査のことである。

ウ：保証型の監査とは、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査のことである。（正解）

エ：保証型の監査とは、監査の結論としてインシデントが発生しないことをステークホルダに対して保証する監査のことである。

🔒 解説は解答すると表示されます

適切なのはウです。

保証型の監査は、監査手続を実施した範囲で、監査対象の情報セキュリティに関するマネジメントやコントロールが適切かどうかについて、監査人が結論を示す監査です。監査の結論は、実施した手続や対象範囲に基づいています。

一方、保証型の監査は、将来インシデントが起きないことまで約束するものではありません。したがって、「インシデントが発生しないことを保証する」とするエは誤りです。

ア：誤りです。助言型の監査であっても、問題点の指摘や改善提言を監査人が自由裁量で行うわけではありません。監査の目的や対象、判断の基準などを踏まえて実施します。
イ：誤りです。助言型の監査は、改善を命令する監査ではありません。改善を実施するかどうかは、監査対象の組織が判断します。
ウ：適切です。監査手続を実施した範囲に基づいて、情報セキュリティに関するマネジメントやコントロールの適切性を判断します。
エ：誤りです。保証型の監査が保証するのは、監査対象の情報セキュリティ対策の適切性に関する監査上の結論です。将来のインシデントが発生しないことまでは保証できません。

「保証型」なら、セキュリティ事故が起きないことを保証する
事故の発生防止を絶対に約束するものではありません。保証の対象は、監査で評価したマネジメントやコントロールの適切性です。
助言型の監査では、監査人が改善を指示できる
監査人は改善を助言しますが、改善を命令したり、実施を決定したりする立場ではありません。
助言型なら、監査人の判断基準は何でもよい
助言型であっても、監査の目的や対象に沿って問題点を評価する必要があります。

保証型と助言型の違いは、監査の目的にあります。保証型では、監査対象の状態について監査人が結論を示します。助言型では、問題点や改善の方向性を示すことが中心です。

どちらの場合も、監査人が組織の情報セキュリティ対策そのものを運用したり、経営判断を代行したりするわけではありません。

Q. 保証型の監査を受ければ、インシデントが起きないと考えてよいですか？
A. いいえ。監査で確認した対象や手続の範囲に基づく結論であり、将来のインシデントが起きないことを保証するものではありません。

Q. 助言型の監査で改善提言を受けたら、必ず実施しなければなりませんか？
A. 監査人が改善を命令するものではありません。提言を踏まえて改善するかどうかは、組織が判断します。

関連キーワード: 保証型監査、助言型監査、情報セキュリティ監査、監査基準、監査手続

\ せっかくなら /

ITサービスマネージャを
クイズ形式で学習しませんか？

すぐに利用可能！