情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問39: “情報セキュリティ監査基準”に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，

問題本文

“情報セキュリティ監査基準”に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，最も適切なものはどれか。

選択肢

• ア.監査の対象は情報資産，コンピュータを導入していない部署における監査実施の要否は必要
• イ.監査の対象は情報資産，コンピュータを導入していない部署における監査実施の要否は不要
• ウ.監査の対象は情報システム，コンピュータを導入していない部署における監査実施の要否は必要
• エ.監査の対象は情報システム，コンピュータを導入していない部署における監査実施の要否は不要

正解

ア. 監査の対象は情報資産，コンピュータを導入していない部署における監査実施の要否は必要

解説

情報セキュリティ監査は，コンピュータシステムだけでなく紙の書類や人による管理を含むすべての情報資産を対象とする。情報は紙媒体や口頭などコンピュータを使わない形でも扱われるため，コンピュータを導入していない部署でも監査が必要であり，対象が情報資産・実施が必要となるアが正解である。

選択肢ごとの解説

• ア.正しい。監査対象は情報資産全般であり，紙や人による情報の取扱いがあるためコンピュータ未導入の部署でも監査が必要である。
• イ.対象が情報資産である点は正しいが，コンピュータ未導入部署も紙の情報等を扱うため監査は必要であり不要は誤りである。
• ウ.監査対象は情報システムに限らず情報資産全般であるため，対象を情報システムとする点が誤りである。
• エ.対象を情報システムに限定し，かつ未導入部署を不要とする点がともに誤りである。