問50
頻出度★★★
ある事業者において, 情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として, 最も適切なものはどれか。
平成31年度 春期 ITパスポート試験 問50
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 50
错误ア
把审计对象局限在「信息系统」这一机制上。沿生命周期需要保护的是信息资产本身，而未载入信息系统的纸质媒介、口头信息等会被排除在对象之外，因此不恰当。
错误イ
只锁定在信息系统之外持有的信息资产（如纸质文件），会遗漏信息系统内的电子数据。仅能覆盖持有的全部资产中的一部分，因此不恰当。
错误ウ
只锁定在信息系统内持有的信息资产，反过来会把纸质媒介、以口头处理的信息等系统之外的信息资产排除在对象之外。这一项同样只覆盖一部分，因此不恰当。
- エ
正解 信息资产不仅限于信息系统内的电子数据，还包括纸质文件、记录介质、以口头方式传递的知识等，凡是组织认为有价值并持有的所有信息都属于信息资产。按照信息资产的生命周期（获取·创建→使用→保管→废弃）开展的信息安全审计，由于信息无论处于哪个阶段、哪种形态都存在泄露或篡改的风险，因此以持有的全部信息资产为对象最为恰当。所以正确答案是 エ。
ここがポイント
- 信息资产不仅是电子数据，还包括纸质媒介、记录介质、人的知识等所有形态。信息安全审计以持有的全部信息资产为对象。
- 信息资产的生命周期（获取·创建→使用→保管→废弃）的各个阶段都会产生风险，因此审计不局限于特定的存放场所或形态。
用語