平成22年度春期 システム監査技術者 午前Ⅱ 問10

監査基準の役割を見極める視点

この問題では、監査に関わる文書を個別の内容だけで判断せず、何を目的に、誰がどの場面で参照し、他の文書とどう関係するかという位置付けに注目して、全体像から整理することが大切です。

この問題で問われていること

確認の中心は、対象となる基準が監査の実施や判断においてどのような役割を担う文書なのかを、適用される範囲や利用場面との関係から読み取ることです。

視点

文書の名称や個別の記述だけで結論を急がず、目的、利用者、適用場面、他の指針との関係を分けて整理し、全体の位置付けを考えましょう。

確認ポイント

• その文書の主な目的と利用場面を確認する
• 適用される対象や範囲との関係を整理する
• 関連する文書との役割の違いに注目する

正解

ウ

解説

情報セキュリティ監査基準は、情報セキュリティ監査業務の品質を確保し、有効かつ効率的な監査を実施するための監査人の行為規範です。

理由

情報セキュリティ監査基準は、監査対象となる組織のセキュリティ対策そのものを定める基準ではなく、情報セキュリティ監査を適切に実施するための監査人の行為規範です。監査業務の品質を確保し、有効かつ効率的に実施することが目的です。

比較

組織のコントロール整備や情報資産保護のベストプラクティスを示す文書、監査マニュアル作成の手引書、監査時の判断尺度そのものとは位置付けが異なる。したがって、監査業務の品質と実施方法に焦点を置く記述が適切です。

選択肢ア

これは不正解だよ。監査人が情報資産の監査で用いる判断の尺度という説明は、監査基準の位置付けを十分に表していない。この基準は単なる判定基準ではなく、情報セキュリティ監査業務の品質確保と有効かつ効率的な実施に関する監査人の行為規範である。

選択肢イ

これは不正解だよ。情報資産を保護するためのベストプラクティスをまとめたものという説明は、組織が実施するセキュリティ対策の指針に当たる。情報セキュリティ監査基準は、監査マニュアル作成の手引書ではなく、監査業務の品質と実施を規範化する文書である。

選択肢ウ（正解）

これは正解だよ。情報セキュリティ監査基準は、情報セキュリティ監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とする。そのため、監査人が監査業務を行う際の行為規範であるという説明が、文書の位置付けに合致する。

選択肢エ

これは不正解だよ。組織体が情報セキュリティマネジメント体制やコントロールを整備・運用するための実践規範という説明は、監査対象組織の管理基準に近い。監査基準は組織の対策実務ではなく、監査人による監査業務を対象とする。

学習のポイント

監査基準と、組織の情報セキュリティ管理を定める規範との違いを理解する。