ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問38 情報セキュリティ監査とは

ITパスポート 令和7年度 公開問題、全100問のうちの問38。

出典：令和7年度 ITパスポート試験 公開問題 問38

情報セキュリティ監査の説明として，最も適切なものはどれか。

  1. ア一定の基準に基づいて IT システムの利活用に係る検証・評価を行い，ガバナンスの適切性などに対する保証や改善のための助言を行うもの
  2. イコンピュータの盗難や不正な持出しを物理的に防止し，情報セキュリティを確保するためのツール
  3. ウ組織体の価値及び組織体への信頼を向上させるために，組織体における IT システムの利活用のあるべき姿を示す IT 戦略と方針の策定及びその実現のための活動
  4. エ組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価
答えと解説を開く

正解はエです。

情報資産とは、顧客の情報や社内の資料、システムなど、組織にとって価値のある情報とその入れ物のことです。組織は、それらが漏れたり壊れたりするリスクを洗い出して、対策を決めて実行します。これがリスクマネジメントです。情報セキュリティ監査では、独立した立場の監査人が、このリスクマネジメントが効果的に行われているかを検証し、評価します。エの記述は、この説明です。だから正解はエです。

ほかの選択肢が違う理由

  • アIT システムの利活用を検証し評価して、ガバナンスの適切さを保証したり助言したりするのは、システム監査の説明です。情報セキュリティに絞った監査ではありません。
  • イ盗難や不正な持出しを物理的に防ぐ道具は、セキュリティワイヤなどの物理的な対策です。監査ではありません。
  • ウIT システムの利活用のあるべき姿を示す戦略と方針を作り、それを実現する活動は、IT ガバナンスの説明です。監査ではありません。

仕組み

監査は、自分ではない独立した人が、決まった基準に照らして確かめる活動です。情報セキュリティ監査の対象は、情報資産のリスクへの取組みです。

似た用語との違いは次の通りです。システム監査は IT の利活用全体を、情報セキュリティ監査は情報資産のリスクマネジメントを見ます。IT ガバナンスは監査ではなく、方針を作って実行する側の活動です。