情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度秋期 午前 問40: “情報セキュリティ監査基準”に関する記述のうち，最も適切なものはどれか。

問題本文

“情報セキュリティ監査基準”に関する記述のうち，最も適切なものはどれか。

選択肢

• ア.“情報セキュリティ監査基準”は情報セキュリティマネジメントシステムの国際規格と同一の内容で策定され，更新されている。
• イ.情報セキュリティ監査人は，他の専門家の支援を受けてはならないとしている。
• ウ.情報セキュリティ監査の判断の尺度には，原則として，“情報セキュリティ管理基準”を用いることとしている。
• エ.情報セキュリティ監査は高度な技術的専門性が求められるので，監査人に独立性は不要としている。

正解

ウ. 情報セキュリティ監査の判断の尺度には，原則として，“情報セキュリティ管理基準”を用いることとしている。

解説

情報セキュリティ監査基準は経済産業省が公表した監査人の行為規範であり，監査の判断の尺度（評価の物差し）としては原則として“情報セキュリティ管理基準”を用いることとされている。したがって判断の尺度に情報セキュリティ管理基準を用いるとする（ウ）が最も適切である。

選択肢ごとの解説

• ア.情報セキュリティ監査基準は国内で策定された監査人の行為規範であり，ISMS の国際規格と同一内容で更新されるものではない。
• イ.監査基準は必要に応じて他の専門家の支援を受けることを認めており，支援を受けてはならないとはしていない。
• ウ.正しい。監査の判断の尺度には原則として情報セキュリティ管理基準を用いることとされている。
• エ.監査人には公正な判断のための独立性が不可欠であり，独立性が不要とすることはない。