システム監査技術者 2009年 午前2 問05
問題文
“情報セキュリティ監査基準”における保証型監査と助言型監査に関する記述のうち、適切なものはどれか。
選択肢
ア：助言型監査とは、監査上の判断尺度として情報セキュリティ管理基準を利用し、情報セキュリティ上の問題点の指摘と改善提言は監査人の自由裁量で行う監査のことである。
イ：助言型監査とは、監査対象の情報セキュリティに関するマネジメントやコントロールの適切な運用を目的として、情報セキュリティ上の問題点の検出と改善を命令する監査のことである。
ウ：保証型監査とは、監査手続を実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切であることを保証する監査のことである。（正解）
エ：保証型監査とは、監査の結果としてインシデントが発生しないことをステークホルダに対して保証する監査のことである。
🔒 解説は解答すると表示されます
保証型監査と助言型監査【午前2解説】
正解の理由
ウが適切です。保証型監査とは、監査人が監査手続を実施し、その結果に基づいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切であるかどうかについて、一定の保証を与える監査です。
ここでいう保証は、監査で確認した範囲と証拠に基づくものです。将来のインシデントが起きないことまで約束するものではありません。
解法ステップ
- 保証型監査は、監査手続の結果を基に、監査対象の適切性について保証を与えるものです。
- 助言型監査は、問題点や改善の方向性を示して、監査対象の改善を支援するものです。
- 選択肢が、監査対象の適切性に関する保証を述べているか、改善の支援や命令を述べているかを確認します。
- 監査手続を実施した範囲で適切性を保証すると説明するウが、保証型監査の説明に当たります。
選択肢別の誤答解説
- ア：不適切です。 助言型監査の説明として、問題点の指摘や改善提言を挙げている点は近いものの、「監査人の自由裁量で行う」とする説明が適切ではありません。監査は、適切な判断基準や証拠に基づいて実施します。
- イ：不適切です。 助言型監査は、改善を「命令」する監査ではありません。監査人は問題点や改善案を示し、改善を促しますが、改善を実行する責任は監査対象側にあります。
- ウ：適切です。 監査手続を実施した範囲で、監査対象のマネジメントやコントロールが適切であることを保証するという、保証型監査の考え方を示しています。
- エ：不適切です。 保証型監査で保証するのは、監査手続に基づく監査対象の適切性です。将来にわたってインシデントが発生しないことを保証するものではありません。
よくある誤解
- 「保証型」は、将来の事故が起きないことの保証だと思う
保証の対象は監査で確認した事項です。将来のインシデントの不存在までは保証しません。 - 助言型監査は、改善を監査人が指示・実行するものだと思う
監査人は改善提言を行いますが、実際に改善する責任は監査対象側にあります。 - 保証型監査は、監査対象のすべてを完全に確認するものだと思う
監査には対象範囲や実施した手続の限界があります。保証は、それらを踏まえたものです。
補足コラム
保証型監査と助言型監査の違いは、監査の目的にあります。保証型監査は監査対象の適切性について保証を与えることを目的とし、助言型監査は問題点の改善を支援することを目的とします。いずれの場合も、監査人が改善を実行するのではなく、監査対象側が改善に取り組みます。
FAQ
Q. 保証型監査を受ければ、情報セキュリティ上の問題はないといえますか？
A. 監査で確認した対象や範囲について一定の保証を得られますが、すべての問題が存在しないことや、将来インシデントが起きないことを意味するわけではありません。
A. 監査で確認した対象や範囲について一定の保証を得られますが、すべての問題が存在しないことや、将来インシデントが起きないことを意味するわけではありません。
Q. 助言型監査では、監査人は何をするのですか？
A. 情報セキュリティ上の問題点を示し、改善に向けた提言を行います。提言を踏まえて改善を実行するのは、監査対象側です。
A. 情報セキュリティ上の問題点を示し、改善に向けた提言を行います。提言を踏まえて改善を実行するのは、監査対象側です。
関連キーワード: 保証型監査、助言型監査、情報セキュリティ監査、監査手続、改善提言
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！