情報セキュリティマネジメント 平成28年度 秋期 午前 問40

✓ これが正解ウ 情報セキュリティ監査の判断の尺度には，原則として，“情報セキュリティ管理基準”を用いることとしている。

解説

判断の尺度には原則として情報セキュリティ管理基準を用います。

設問が引く情報セキュリティ監査基準は、情報セキュリティ監査をどう行うかを定めたもので、監査人が守るべき考え方や監査の進め方を示します。監査では、対象の状態を何と照らし合わせて良し悪しを判断するのかという物差しが必要です。この物差しにあたるものとして、情報セキュリティ監査基準は、原則として情報セキュリティ管理基準を用いるという組み立てをとっています。管理基準の側が実施すべき事項や管理策の例を並べ、監査基準の側が監査のやり方を定めるという役割の分担です。だから、判断の尺度に原則として情報セキュリティ管理基準を用いることとしている、という記述が当てはまります。

ほかの選択肢の解説

• ア “情報セキュリティ監査基準”は情報セキュリティマネジメントシステムの国際規格と同一の内容で策定され，更新されている。：情報セキュリティマネジメントシステムの国際規格と同じ中身で作られ、更新されているという記述です。監査基準が定めているのは監査人の行為規範と監査の進め方であって、マネジメントシステムに求める事項を並べたものではありません。国際規格の内容に沿って整えられているのは、判断の物差しにあたる管理基準の側です。
• イ 情報セキュリティ監査人は，他の専門家の支援を受けてはならないとしている。：監査人が他の専門家の支援をいっさい受けてはならないという記述です。対象によっては高度な技術知識が必要な場面があり、必要な知識を外から補うことまで一律に禁じてしまうと、監査そのものが成り立たなくなります。
• エ 情報セキュリティ監査は高度な技術的専門性が求められるので，監査人に独立性は不要としている。：技術的な専門性が求められることを理由に、監査人に独立性は不要だという記述です。監査の結果が信頼されるのは、監査する側が対象から離れた立場にあるからで、専門性の高さは独立性を外してよい理由になりません。