応用情報技術者試験 応用情報技術者試験 令和3年度秋期 午前 問57: 経済産業省“情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）”における，情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監

正解

エ. 不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。

正答率 71.5%（326人中 233人が正解）

問題の解説

保証型の監査は、情報セキュリティ対策が適切であることに一定の保証を与えるもので、結果を外部へ示す用途に向く。助言型の監査は、改善に役立つ助言を行うもので、組織内の改善に向く。どちらで実施するかは監査要請者のニーズや目的に合わせて選び、併用もできる。多数の利害関係者の情報を扱うシステムでは、保証型の結果を開示すると信頼を得やすい。

選択肢ごとの解説

• ア保証型から始めて、保証が得られたら助言型に切り替えなければならないという決まりはない。順序や組合せは、目的やニーズに応じて決める。
• イ保証型と助言型は排他的ではなく、目的に応じて使い分けたり、併用したりできる。どちらかに決めなければならないわけではない。
• ウどちらで実施するかは、監査要請者のニーズや目的を踏まえて決める。監査人だけの責任で、ニーズと無関係に決めるのではない。
• エ正しい。不特定多数の利害関係者の情報を扱うシステムでは、保証型の監査を定期的に実施して結果を開示すると、利害関係者の信頼につながる。