問38
頻出度★★★
情報セキュリティ監査の説明として, 最も適切なものはどれか。
令和7年度 ITパスポート試験 問38
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 38
错误ア
「依据一定的标准，对 IT 系统的利用情况进行验证与评估，并就治理的适当性等提供保证或改进建议」描述的是不将对象限定于信息资产风险管理的广义系统审计（IT 审计），作为指代信息安全审计本身的说明，范围过宽。
错误イ
「从物理上防止计算机被盗或被非法带出，以确保信息安全的工具」指的是安全锁绳等物理安全对策的器具，而不是审计（验证、评估活动）。
错误ウ
「为提升组织的价值以及外界对组织的信任，制定指明组织中 IT 系统应有利用方式的 IT 战略和方针，并开展实现这些战略和方针的活动」是 IT 治理的说明。它不是审计，而是管理层对 IT 进行管控和指引方向的举措，属于另一个概念。
- エ
正解 正确答案是エ。信息安全审计是指从独立的立场，对组织信息资产相关的风险管理（风险的识别、评估、应对）是否得到有效实施进行验证或评估的活动。エ 的表述「验证或评估与组织信息资产相关的风险管理是否得到了有效实施」正是这一定义本身，作为聚焦于信息安全的审计说明最为恰当。
ここがポイント
- 信息安全审计＝从独立的立场验证、评估组织信息资产相关的风险管理是否有效发挥作用。
- 不要与系统审计（对 IT 整体治理的验证）、IT 治理（制定指明 IT 应有形态的战略并加以实现）以及物理安全工具相混淆。
用語