システム監査技術者 2010年 午前2 問10

情報セキュリティ監査基準【午前2解説】

正解の理由

解法ステップ

1. 用語の「監査基準」が、監査人と監査対象組織のどちらに関するものかを確認します。
2. 「情報セキュリティ監査基準」は、監査人の行為規範であると判断します。
3. 監査人の行為規範を示しているウを選びます。

選択肢別の誤答解説

• ア：監査の判断尺度について述べています。これは監査で用いる評価基準の説明に近く、監査人の行為規範という「情報セキュリティ監査基準」の位置付けとは異なります。
• イ：情報資産を保護するためのベストプラクティスや、監査マニュアル作成の手引書として説明しています。監査基準の役割とは異なります。
• ウ：監査業務の品質を確保し、有効かつ効率的に監査を実施するための監査人の行為規範です。情報セキュリティ監査基準の位置付けとして適切です。
• エ：組織が情報セキュリティ管理体制やコントロールを整備・運用するための実践規範です。監査人向けではなく、監査対象となる組織向けの説明です。

よくある誤解

• 「監査基準」と「監査で使う評価の尺度」を同じものだと考える
  監査人の行為規範と、監査対象を評価するための基準は区別します。
• 監査基準を、組織が実施すべきセキュリティ対策の基準だと考える
  組織が対策を整備・運用するための基準と、監査人の行為規範は別のものです。
• 「監査」という言葉だけで、監査マニュアルの作成基準だと考える
  情報セキュリティ監査基準の中心的な役割は、監査人の行為を規律することです。

補足コラム

FAQ