問50
頻出度★★★
ある事業者において, 情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として, 最も適切なものはどれか。
平成31年度 春期 ITパスポート試験 問50
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 50
不正解ア
監査の対象を「情報システム」という仕組みに限定している。ライフサイクルに沿って守るべきは情報資産そのものであり、情報システムに載らない紙媒体や口頭情報などが対象から漏れてしまうため不適切。
不正解イ
情報システム以外で保有する情報資産 (紙の書類など) だけに絞っており、情報システム内の電子データが抜け落ちる。保有する全資産の一部分しかカバーできないため不適切。
不正解ウ
情報システム内に保有する情報資産だけに絞っており、逆に紙媒体や口頭で扱う情報など、システム外の情報資産が対象から漏れる。こちらも一部分に留まるため不適切。
- エ
正解 情報資産とは、情報システム内の電子データに限らず、紙の書類・記録媒体・口頭で伝わる知識など、組織が価値を認めて保有するあらゆる情報を含む。情報資産のライフサイクル (取得・作成→利用→保管→廃棄) に従った情報セキュリティ監査は、情報がどの段階・どの形態にあっても漏えいや改ざんのリスクを持つため、保有している全ての情報資産を対象とするのが最も適切である。よって エ が正解となる。
ここがポイント
- 情報資産は電子データだけでなく、紙媒体・記録媒体・人の知識など全ての形態を含む。情報セキュリティ監査は保有する全ての情報資産を対象とする。
- 情報資産のライフサイクル (取得・作成→利用→保管→廃棄) の各段階でリスクが生じるため、監査は特定の保管場所や形態に限定しない。
用語