ITパスポート 令和7年度 問38

✓ これが正解エ 組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価

解説

情報資産のリスク管理が有効に働いているかどうかを確かめる役目です。

監査は、決められたとおりに行われているかを独立した立場から確かめる営みです。何を対象にするかで呼び名が分かれ、情報セキュリティ監査は、組織が持つ情報資産を守る取り組みを対象にします。具体的には、どんな危険があるかを洗い出し、重さを見きわめ、手を打ち、確かめ直すというリスクマネジメントの一連が、実際に効果を上げているかどうかを検証し評価します。組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証または評価という記述が当てはまります。守る側ではなく、守れているかを見る側にいるのが監査です。

ほかの選択肢の解説

• ア 一定の基準に基づいてITシステムの利活用に係る検証・評価を行い，ガバナンスの適切性などに対する保証や改善のための助言を行うもの：情報システムの使い方全体を基準に照らして検証し、統治の適切さを保証したり助言したりするものです。対象が情報システム全般に広がっており、情報資産の守りに絞った検証よりも枠が大きくなります。
• イ コンピュータの盗難や不正な持出しを物理的に防止し，情報セキュリティを確保するためのツール：盗難や持ち出しを物理的に防ぐための道具を指しています。守るための手立てそのものであって、守れているかを外から確かめる営みではありません。守る側と確かめる側を取り違えています。
• ウ 組織体の価値及び組織体への信頼を向上させるために，組織体におけるITシステムの利活用のあるべき姿を示すIT戦略と方針の策定及びその実現のための活動：情報システムのあるべき姿を示す戦略と方針を定め、実現していく活動を指しています。方向を決めて動かす側の話であり、それが有効に働いているかを検証する側ではありません。