情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成31年度春期 午前 問40: 経済産業省“情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）”における，情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監

正解

エ. 不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。

正答率 48.5%（103人中 50人が正解）

問題の解説

保証型の監査は対策の適切性に一定の保証を付与する監査、助言型の監査は改善のための助言を行う監査であり、どちらを選ぶかは監査要請者のニーズに応じて決まる。不特定多数の利害関係者の情報を扱うシステムでは、保証型監査を定期的に実施し結果を開示することが信頼確保に有用であるため、正解はエである。

選択肢ごとの解説

• ア誤り。必ず保証型から始めて助言型に切り替えるといった順序は定められていない。
• イ誤り。保証型と助言型は排他的に二者択一しなければならないものではなく、目的に応じて使い分けられる。
• ウ誤り。いずれの型で実施するかは監査要請者のニーズに応じて決定するものである。
• エ正しい。不特定多数の利害関係者の情報を扱うシステムでは、保証型監査を定期実施し結果を開示することが有用である。