情報セキュリティマネジメント 平成28年度 春期 午前 問39

✓ これが正解ア 情報資産／必要

解説

監査の対象は情報資産で、コンピュータのない部署も対象です。

情報セキュリティ監査は、守るべきものを情報資産としてとらえます。情報資産は、コンピュータの中にあるデータやシステムだけを指すものではありません。紙に印刷された書類や契約書、それを扱う人の手順や取決めまでを含みます。設問が引く情報セキュリティ監査基準は、この情報資産を対象として、守りの仕組みが整っているかを独立した立場で確かめるという組立てをとっています。そう考えると、コンピュータを導入していない部署にも、紙の書類や口頭でのやり取りといった守るべきものがあります。だから、対象は情報システムではなく情報資産であり、コンピュータを導入していない部署でも監査を行う必要がある、という組合せが最も適切になります。

ほかの選択肢の解説

• イ 情報資産／不要：対象を情報資産と見る点は合っていますが、機器が置かれていない部署を外してよいことにはなりません。そこにも紙の書類や守るべき取決めがあり、確かめずに済ませれば守りの穴がそのまま残ります。
• ウ 情報システム／必要：機器の無い部署でも実施するという方向は正しいのですが、対象を情報システムに絞ると、紙や口頭でやり取りされるものが範囲の外へ落ちます。守る範囲の取り方が狭くなってしまいます。
• エ 情報システム／不要：対象を情報システムに限ったうえで、機器の無い部署まで除いてしまう考え方です。二つが重なると、確かめが及ばない部署とものが同時に生まれ、組織全体の守りを見るという目的から遠ざかります。