平成22年度 春期 午前Ⅱ 問10

✓ これが正解ウ情報セキュリティ監査業務の品質を確保し，有効かつ効率的に監査を実施することを目的とした監査人の行為規範である。

解説

情報セキュリティ監査基準は、監査業務の品質を確保する行為規範です。

経済産業省の情報セキュリティ監査制度では、監査人が従う情報セキュリティ監査基準と、判断の尺度として用いる情報セキュリティ管理基準が対になっています。見分ける軸は、その基準が監査人の行いを律するものか、監査対象の組織の取組みを測るものかです。情報セキュリティ監査基準は、監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とした、監査人の行為規範です。一方、判断の尺度や、組織体がマネジメント体制とコントロールを整えるための実践規範は、管理基準の側の説明です。監査基準は監査人の行為、管理基準は組織の実践、と主体で覚えると取り違えません。

ほかの選択肢はなぜ違うのか

• ア監査人が情報資産の監査を行う際に判断の尺…：監査人が情報資産を監査するときに判断の尺度として用いる基準は、情報セキュリティ管理基準の役割です。監査人の行いを律する行為規範という情報セキュリティ監査基準の位置付けとは異なります。
• イ情報資産を保護するためのベストプラクティ…：情報資産を守るベストプラクティスをまとめた監査マニュアル作成の手引書、という性格づけは、監査人の行為規範という情報セキュリティ監査基準の位置付けと合いません。監査の品質を確保するための規範という要素が欠けています。
• エ組織体が効果的な情報セキュリティマネジメ…：組織体が情報セキュリティマネジメント体制を作り、コントロールを整備、運用するための実践規範は、情報セキュリティ管理基準の説明です。監査を受ける組織の側の規範であり、監査人の行為規範ではありません。