問38
頻出度★★★
情報セキュリティ監査の説明として, 最も適切なものはどれか。
令和7年度 ITパスポート試験 問38
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 38
不正解ア
「一定の基準に基づいて IT システムの利活用を検証・評価し、ガバナンスの適切性への保証や改善の助言を行う」のは、対象を情報資産のリスクマネジメントに限定しない広義のシステム監査（IT 監査）の説明であり、情報セキュリティ監査そのものを指す説明としては範囲が広すぎる。
不正解イ
「コンピュータの盗難や不正な持出しを物理的に防止するツール」は、セキュリティワイヤーなどの物理的セキュリティ対策の道具を指しており、監査（検証・評価活動）ではない。
不正解ウ
「組織体の価値・信頼向上のために IT システムのあるべき姿を示す IT 戦略・方針の策定とその実現活動」は、IT ガバナンスの説明である。監査ではなく、経営層が IT を統制・方向づけする取組みであり、別概念である。
- エ
正解 正解はエ。情報セキュリティ監査とは、組織の情報資産に関わるリスクマネジメント（リスクの特定・評価・対策）が効果的に実施されているかどうかを、独立した立場から検証または評価する活動である。エの記述「組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価」は、まさにこの定義そのものであり、情報セキュリティに焦点を当てた監査の説明として最も適切である。
ここがポイント
- 情報セキュリティ監査＝組織の情報資産に関するリスクマネジメントが効果的に機能しているかを独立した立場から検証・評価すること。
- システム監査（IT 全般のガバナンス検証）・IT ガバナンス（IT のあるべき姿を示す戦略策定と実現）・物理的セキュリティツールと混同しないこと。
用語