平成22年度春期 情報処理安全確保支援士 午前Ⅱ 問24

情報セキュリティ監査を行うプロが、テスト結果を採点する時の「ものさし（判断尺度）」となる基準

経済産業省が策定した「情報セキュリティ監査基準」の位置づけについての問題だよ。この基準は、監査を行う人（監査人）が「この会社のセキュリティ対策は十分か？」「ルールが守られているか？」を客観的に評価する際の『共通のものさし（判断尺度）』として使うためのものなんだ。これがあるから、誰が監査しても同じレベルで公平に判定できるんだよ。

この問題で問われていること

セキュリティ対策のベストプラクティスをまとめた「管理基準（実践規範）」とは明確に区別し、「監査人が監査活動を進め、評価する際の『客観的な判断の尺度』となるもの」が監査基準の役割だと見つけ出そう。

監査基準の位置付け

監査対象組織の手順書ではなく、監査人が何を基準に評価し意見をまとめるかを支える基準です。

監査人の判断尺度\n監査人の規範\n-> 情報セキュリティ監査基準

確認ポイント

• ベストプラクティス集や監査マニュアル作成の手引ではありません。
• 組織体の実践規範そのものでもありません。
• 監査人の判断尺度という説明を選びます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。監査で使う“ものさし”という感じは近いけど、この説明は「監査人がどう行動して、監査の品質をどう保つか」という情報セキュリティ監査基準の中心から少しずれているんだ。たとえるなら、泥棒対策を点検する人の“仕事の進め方ルール”を聞かれているのに、“点検するときの判断材料”だけを答えている感じだよ。

選択肢イ

これは不正解だよ。これは監査人のルールではなく、情報資産を守るためのよいやり方集、つまり防犯マニュアルに近い説明なんだ。たとえるなら、警備員の勤務ルールを聞かれているのに、「玄関には鍵をかけよう、窓も確認しよう」という家の防犯ノウハウを答えている感じだよ。

選択肢ウ（正解）

これが正解だよ。情報セキュリティ監査基準は、監査人がきちんとした品質で、効率よく有効な監査を行うための行動ルールなんだ。たとえるなら、防犯チェックをする人が「どこを見るか、証拠をどう集めるか、報告をどうするか」を雑にしないための仕事の約束ごとだよ。

選択肢エ

これは不正解だよ。これは組織がセキュリティ管理体制を作って運用するための実践ルールの説明で、監査人の行為規範ではないんだ。たとえるなら、店そのものが防犯カメラや合鍵管理をどう整えるかのルールであって、それをチェックする監査人の仕事ルールではないよ。