情報セキュリティ監査とは？
情報セキュリティ監査とは、対策が方針や基準どおりに整備・運用されているかを、被監査部門から独立した立場で点検し、証拠にもとづき評価・助言する活動。FEでは監査人の独立性と、監査証拠・監査調書の扱いが問われる。
基本情報技術者試験の過去問では5回出題されています（2016年度〜2025年度）。
じょうほうせきゅりてぃかんさ
情報セキュリティ監査の意味
対策が方針や基準どおりに整備・運用されているかを、被監査部門から独立した立場で点検し、証拠にもとづき評価・助言する活動。FEでは監査人の独立性と、監査証拠・監査調書の扱いが問われる。
情報セキュリティ監査の具体例
監査人がアクセス権限の一覧と人事異動記録を突き合わせ、異動後も旧部署の権限が残っている事実を発見する。これを監査証拠として調書に記録し、報告書で改善を勧告する。是正するのは監査人ではなく被監査部門である。
情報セキュリティ監査は試験でどう引っ掛けられる？
監査人は自ら設定を修正しない（実施すると独立性が失われる）。また助言型と保証型の違い、内部監査でも所属部門の監査は担当しないという原則が問われる。ISMS認証の審査とは目的も実施主体も異なる。
情報セキュリティ監査と関連する用語
情報セキュリティ監査が出た過去問
情報セキュリティ監査において，可用性を確認するチェック項目はどれか。
正解：中断時間を定めたSLAの水準が保たれるように管理されていること
要点：可用性は使いたいときに使えること。中断時間の管理が要
可用性は、必要なときにシステムやデータを利用できる状態を指す。したがって監査では、サービスの中断時間について定めたSLAの水準が守られるよう管理されているかを確認することが可用性のチェック項目となる。持出し禁止や暗号化は機密性、入力時のエラーチェックは完全性に対応する。
出典：平成28年度 秋期 基本情報技術者試験 午前 問59（IPA）外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が…
正解：委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。
要点：機密媒体の外部搬送には施錠・封印など物理的保護が必要
機密情報を含む媒体を外部に持ち出す際は、内容の秘匿と改ざん・すり替えの防止のため、施錠できる搬送容器や封印など物理的な保護策が必要である。段ボール箱に入れただけでは中身を容易に取り出せてしまうため、安全性が確保されておらず指摘事項となる。
出典：平成30年度 秋期 基本情報技術者試験 午前 問59（IPA）情報セキュリティ監査において、可用性を確認するチェック項目はどれか。
正解：中断時間を定めたSLAの水準が保たれるように管理されていること
要点：可用性は中断時間などサービス継続の水準で確認する
可用性は、必要なときに利用できる状態が確保されているかという特性である。サービスの中断時間をSLAで定め、その水準が維持されるよう管理していることを確認する項目は、可用性に対応する。
出典：平成30年度 春期 基本情報技術者試験 午前 問60（IPA）情報セキュリティ監査において、可用性を確認するチェック項目はどれか。
正解：中断時間を定めたSLAの水準が保たれるように管理されていること
要点：可用性は必要なときに使える状態。中断時間が着眼点
可用性とは、必要なときに情報やサービスを利用できる状態を保つ性質である。したがって、サービスの中断時間について定めた水準が守られているかを確かめる項目が可用性の確認に当たる。媒体の持出し禁止や暗号化は機密性、入力時のエラーチェックは完全性に関わる項目である。
出典：令和4年度 s 基本情報技術者試験 kamokuA 問48（IPA）サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項と…
正解：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。
要点：社外に通じる扉の常時施錠は物理的統制の必須要件
監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を記載する。社外から直接出入りできるドアを常時施錠していない状態は、部外者の侵入を許しうる物理的セキュリティ上の不備であり、指摘すべきものである。他の三つは警報装置の設置や避難設備の確保、所在の秘匿といった適切な対策にあたる。
出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問15（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。