「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

予備知識

問題

正解

ピヨピヨ解説

頑張れば国語力でも解けないことはなさそうな問題ですね。
解答選択肢を見ていきましょう。

「ア：同じ監査対象に対して情報セキュリティ監査を実施する場合，保証型の監査から手がけ，保証が得られた後に助言型の監査に切り替えなければならない。」は、別にどっちからやっても良さそうな気がしますね。

情報セキュリティ監査基準 実施基準ガイドライン(Ver1.0)には以下のように書いてありました。

情報セキュリティ対策は、環境条件の変化に応じて、段階的に内容の向上を図ることが現実的であることから、情報セキュリティ監査をそのためのモニタリング機能として位置づけることも有益である。その場合、助言型の監査から手掛け、被監査側の情報セキュリティ対策が一定水準に達した段階で保証型の監査に切り替えるという方策が考えられる。なお、保証型の監査では、継続して情報セキュリティ監査を受けることによってはじめて効果が得られることに留意する。

「助言型の監査」を先にやって、ある程度良い感じになったら「保証型の監査」に切り替えるやり方もアリじゃね？だそうです。
解答選択肢で言っていることとは逆ですね。

「イ：情報セキュリティ監査において，保証型の監査と助言型の監査は排他的であり，監査人はどちらで監査を実施するかを決定しなければならない。」は、排他的ではない（どっちもやれる）気がしますね。

情報セキュリティ監査基準 実施基準ガイドライン(Ver1.0)には以下のように書いてありました。

情報セキュリティ監査には、組織体が採用している情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監査（保証型の監査という）と、情報セキュリティ対策の改善に役立つ助言を行うことを目的とする監査（助言型の監査という）がある。なお、この２つの目的は排他的なものではないため、保証と助言の２つを監査の目的とすることができる。

やっぱり、どっちもやれるようです。

「ウ：情報セキュリティ監査を保証型で実施するか助言型で実施するかは，監査要請者のニーズによって決定するのではなく，監査人の責任において決定する。」は「依頼者の希望を聞けよ！」という気がします。

情報セキュリティ監査基準 実施基準ガイドライン(Ver1.0)には以下のように書いてありました。

情報セキュリティ監査の目的は、基本的には監査依頼者又は被監査側のニーズによって決定されるが、情報セキュリティ監査人は、監査の実施に先立って、保証を目的とするかあるいは助言を目的とするかについて、監査要請者又は被監査側と調整を重ねておく必要がある。

基本的には監査要請者のニーズによって決まるし、そうでないなら監査要請者と調整する必要があるそうです。

「エ：不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。」は、特に問題ない気がします。

情報セキュリティ監査基準 実施基準ガイドライン(Ver1.0)には以下のように書いてありました。

不特定多数の利害関係者が関与する公共性の高い事業又はシステム等、あるいは不特定多数の利害関係者の情報を取扱う場合であって高い機密性の確保が要求される事業又はシステム等については、保証型の監査を定期的に（例えば、1 年ごと）利用し、その監査の結果を開示することによって利害関係者の信頼を得ることが望ましい。

そのまんまなことが書いてありますね。

ということで「エ：不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。」が正解です。