ITパスポート試験 ITパスポート 2025年 (令和7年) 問38: 情報セキュリティ監査の説明として,最も適切なものはどれか。

正解

エ. 組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価

正答率 61.7%（1,205人中 743人が正解）

問題の解説

情報セキュリティ監査は、組織の情報資産を守るためのリスクマネジメントが、適切かつ効果的に実施されているかを、独立した立場の者が検証又は評価する活動である。ITシステムの利活用全般を対象にガバナンスの適切性まで検証するシステム監査とは、対象の範囲が異なる。盗難防止のツールやIT戦略の策定は、検証や評価ではない。

選択肢ごとの解説

• アITシステムの利活用全般を検証、評価し、ガバナンスの適切性に保証や助言を与えるのは、システム監査の説明であり、情報セキュリティに絞った監査ではない。
• イコンピュータの盗難や不正な持出しを物理的に防ぐツールは、セキュリティワイヤーなどの物理的な対策であり、検証や評価を行う監査ではない。
• ウITシステムの利活用のあるべき姿を示すIT戦略と方針を策定し、その実現のために活動するのは、ITガバナンスの説明である。
• エ正しい。組織の情報資産に関わるリスクマネジメントが効果的に実施されているかを、検証又は評価する活動である。