情報セキュリティマネジメント 平成31年度 春期 午前 問40

✓ これが正解エ 不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。

解説

不特定多数の情報を扱う場合は保証型を定期実施し開示します。

設問が引く情報セキュリティ監査基準の実施基準ガイドライン（Ver1.0）は、監査の目的に応じて、一定の保証を付与する保証型の監査と、改善に役立つ助言を行う助言型の監査を使い分けるという整理をしています。どちらで実施するかは監査を求める側のニーズに応じて決めるもので、実施の順序が固定されているわけでも、二者択一で片方しか使えないわけでもありません。不特定多数の利害関係者の情報を取り扱う情報システムでは、外部に対して信頼を示す必要が大きいため、保証型の監査を定期的に実施し、その結果を開示することが有用とされています。

ほかの選択肢の解説

• ア 同じ監査対象に対して情報セキュリティ監査を実施する場合，保証型の監査から手がけ，保証が得られた後に助言型の監査に切り替えなければならない。：保証型の監査から先に実施し、保証が得られてから助言型に切り替えるという順序の決まりはありません。監査の目的に応じて、どちらからでも実施できます。
• イ 情報セキュリティ監査において，保証型の監査と助言型の監査は排他的であり，監査人はどちらで監査を実施するかを決定しなければならない。：保証型と助言型は排他の関係ではなく、対象や時期に応じて使い分けたり組み合わせたりできるものです。どちらか一方に決めなければならないという説明は合いません。
• ウ 情報セキュリティ監査を保証型で実施するか助言型で実施するかは，監査要請者のニーズによって決定するのではなく，監査人の責任において決定する。：保証型で実施するか助言型で実施するかは、監査要請者のニーズを踏まえて決めるものです。監査人の責任だけで一方的に決定するという説明は、この整理に合いません。