システム監査・内部統制｜平成31年度 春期 情報セキュリティマネジメント試験 午前 問40

• 同じ監査対象に対して情報セキュリティ監査を実施する場合，保証型の監査から手がけ，保証が得られた後に助言型の監査に切り替えなければならない。
• 情報セキュリティ監査において，保証型の監査と助言型の監査は排他的であり，監査人はどちらで監査を実施するかを決定しなければならない。
• 情報セキュリティ監査を保証型で実施するか助言型で実施するかは，監査要請者のニーズによって決定するのではなく，監査人の責任において決定する。
• ✓ これが正解不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。

解説

不特定多数の情報を扱う場合は保証型を定期実施し開示します。

設問が引く情報セキュリティ監査基準の実施基準ガイドライン（Ver1.0）は、監査の目的に応じて、一定の保証を付与する保証型の監査と、改善に役立つ助言を行う助言型の監査を使い分けるという整理をしています。どちらで実施するかは監査を求める側のニーズに応じて決めるもので、実施の順序が固定されているわけでも、二者択一で片方しか使えないわけでもありません。不特定多数の利害関係者の情報を取り扱う情報システムでは、外部に対して信頼を示す必要が大きいため、保証型の監査を定期的に実施し、その結果を開示することが有用とされています。

ほかの選択肢はなぜ違うのか

• 保証型の監査から先に実施し、保証が得られてから助言型に切り替えるという順序の決まりはありません。監査の目的に応じて、どちらからでも実施できます。
• 保証型と助言型は排他の関係ではなく、対象や時期に応じて使い分けたり組み合わせたりできるものです。どちらか一方に決めなければならないという説明は合いません。
• 保証型で実施するか助言型で実施するかは、監査要請者のニーズを踏まえて決めるものです。監査人の責任だけで一方的に決定するという説明は、この整理に合いません。

この問題に関係する言葉

• 情報セキュリティ監査基準情報セキュリティ監査のやり方を定めた経済産業省の基準。保証を与える型と助言を行う型があり、判断の尺度には原則として情報セキュリティ管理基準を使います。
• 保証型の監査対策が適切だと一定の保証を与えることを目的とする監査です。助言を行う助言型とは目的が違いますが、排他ではありません。

出題当時の情報です（現在との違い）

設問が参照する情報セキュリティ監査基準は令和7年版に改訂され、監査の型の呼び方も変わりました。正解は変わらないとみられます。

出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問40

この問題を演習で解く

同じ単元をまとめて解くならシステム監査・内部統制へ。

この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）