情報セキュリティ監査基準とは？

情報セキュリティ監査基準とは、経済産業省の情報セキュリティ監査制度で用いられる、監査人の行為規範。対になる情報セキュリティ管理基準が国際規格の管理策に対応した評価項目を示し、監査基準側が計画・実施・報告の作法と、保証型・助言型という報告形態の使い分けを定める。

応用情報技術者試験の過去問では1回出題されています。

じょうほうせきゅりてぃかんさきじゅん

応用情報技術者試験の頻出用語／マネジメント系

情報セキュリティ監査基準の意味

経済産業省の情報セキュリティ監査制度で用いられる、監査人の行為規範。対になる情報セキュリティ管理基準が国際規格の管理策に対応した評価項目を示し、監査基準側が計画・実施・報告の作法と、保証型・助言型という報告形態の使い分けを定める。

取引先へ自社の管理水準を示したい企業が保証型の情報セキュリティ監査を受け、監査人が管理基準の項目に沿って統制の整備・運用を確かめ、適合している旨の報告書を受け取る、といった使われ方をする。

情報セキュリティ管理基準と役割を取り違えやすい。またISMSの第三者認証審査とは別制度で、認証を与えるものではなく、組織が自らの求めに応じて受ける監査である点が違う。

経済産業省“情報セキュリティ監査基準実施基準ガイドライン（Ver1.0）”における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監…
正解：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。
要点：保証型監査は結果を開示して利害関係者の信頼を得るのに有用
保証型の監査は、対策が適切であることに一定の保証を与えるもので、その結果を開示すれば外部の利害関係者に対する信頼の裏付けになる。不特定多数の利害関係者の情報を扱うシステムでは、定期的に保証型監査を行って結果を示すことが有用である。保証型と助言型は監査要請者のニーズに応じて選ぶもので、順序が決まっていたり排他的だったりするものではない。
出典：令和3年度秋期応用情報技術者試験午前問57（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。