内部監査とは？

内部監査の意味

組織内部の要員が、自組織のISMSがJIS Q 27001の要求事項や自組織の規程どおりに運用されているかを、独立した立場で検証する活動。監査対象の業務から独立した者が実施することが求められる。

内部監査の具体例

情報システム部門の運用状況を、当該部門に所属しない社内の監査担当者が確認し、規程との不一致があれば指摘事項として報告する。

内部監査は試験でどう引っ掛けられる？

内部監査人は監査対象となる業務や部門から独立している必要があり、自分が担当する業務を自分で監査することは認められない。

内部監査と関連する用語

• マネジメントレビュー
• 変更要求（是正処置・予防処置・欠陥修正）
• システム監査

内部監査が出た過去問

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…

  正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。

  要点：リスク受容基準はアセスメントの前に定めておく

  ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）

• 経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として、最も適切なものはどれか。

  正解：システム監査人の所属部署を内部監査部門とする。

  要点：外観上の独立性は組織上の所属を被監査部門から切り離して確保

  外観上の独立性とは、第三者から見て監査人が監査対象と利害関係をもたないと判断できる状態を指す。監査人を被監査部門から切り離し、経営者直属の内部監査部門に所属させることで、組織上の位置付けとして独立が担保される。学習の義務付けや研修制度は能力の確保に関わるもので、独立性の担保とは別の論点である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問59（IPA）

• 経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として、最も適切なものはどれか。

  正解：システム監査人の所属部署を内部監査部門とする。

  要点：外観上の独立性は組織上の所属を切り離して確保する

  外観上の独立性とは、第三者から見て監査人が監査対象と利害関係をもたないと判断できる状態を指す。監査人を被監査部門から切り離し、経営者直属の内部監査部門に所属させることで、組織上の位置付けとして独立が担保される。学習の義務付けや研修制度は専門能力の確保に関わるもので、独立性の担保とは論点が異なる。

  出典：令和4年度 s 基本情報技術者試験 kamokuA 問47（IPA）

• 内部監査部門が，情報システム部門に対するシステム監査を経営者から指示されたとき，システム監査人の行為として，適切なものはどれか。

  正解：経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。

  要点：監査は独立性が前提。目的と範囲は経営者の意図から決める

  システム監査人はまず経営者のニーズを十分に把握し、それを踏まえて監査の目的と対象範囲を決めるところから作業を始める。監査の独立性を保つため、被監査部門の在籍者を監査メンバにしたり、監査対象システムを開発・保守している事業者に監査を委託したりしてはならない。改善計画の策定と実行は被監査部門の役割であり、監査人が行うと独立性が損なわれる。

  出典：令和8年度 （公開問題） 基本情報技術者試験 kamokuA 問15（IPA）

• A社は栄養補助食品を扱う従業員500名の企業である。A社のサーバ及びファイアウォール（以下、FWという）を含む情報システムの運用は情報システム部が担当している。…

  正解：運用担当者を、FWルールの編集を行う者、操作ログを確認し、操作承認をする者に分け、それぞれに必要最小限の権限を付与する。

  要点：職務分離は編集者と承認者を分け最小権限を付与する

  指摘は職務分離ができていない点、すなわち編集した本人が自分の操作を承認できてしまうことです。改善策は、ルールを編集する担当者と、操作ログを確認して承認する担当者を分け、それぞれに必要最小限の権限だけを付与することです。こうすれば誤った変更が第三者の目で検出され、単独では確定できなくなります。認証強化やログイン経路の制限は、職務分離の問題を解決しません。

  出典：令和4年度 s 基本情報技術者試験 kamokuB 問20（IPA）