情報セキュリティ監査とは？
情報セキュリティ監査とは、組織の情報セキュリティ対策が適切に整備・運用されているかを、独立した立場の監査人が検証し、評価・助言する活動。内部監査人が行う場合と、外部の専門家が行う場合がある。
情報セキュリティマネジメント試験の過去問では5回出題されています（2016年度〜2019年度）。
じょうほうせきゅりてぃかんさ
情報セキュリティ監査の意味
組織の情報セキュリティ対策が適切に整備・運用されているかを、独立した立場の監査人が検証し、評価・助言する活動。内部監査人が行う場合と、外部の専門家が行う場合がある。
情報セキュリティ監査の具体例
外部の監査法人に依頼して、自社の情報セキュリティ体制がJIS Q 27001などの基準に照らして適切かどうかの評価を受け、改善提言を受け取る。
情報セキュリティ監査は試験でどう引っ掛けられる？
内部監査（自組織のISMS運用状況の確認）と情報セキュリティ監査は重なる部分もあるが、後者はより広く外部専門家による評価を含む概念として使われることがある。
情報セキュリティ監査と関連する用語
情報セキュリティ監査が出た過去問
“情報セキュリティ監査基準”に関する記述のうち、最も適切なものはどれか。
正解：情報セキュリティ監査の判断の尺度には、原則として、“情報セキュリティ管理基準”を用いることとしている。
要点：監査基準は行為規範、管理基準は判断の尺度
情報セキュリティ監査制度では、監査人の行為規範を定めた情報セキュリティ監査基準と、監査上の判断の尺度を定めた情報セキュリティ管理基準が対になっている。したがって、監査の判断尺度としては原則として情報セキュリティ管理基準が用いられる。監査基準は監査人の独立性・客観性を強く要求しており、必要に応じて他の専門家の支援を受けることも認められている。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問40（IPA）"情報セキュリティ監査基準"に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，…
正解：監査の対象＝情報資産，コンピュータを導入していない部署における監査実施の要否＝必要
要点：情報セキュリティ監査は情報資産全般が対象。紙の部署も必要
情報セキュリティ監査の対象は情報システムに限らず、紙の書類や人・設備を含む情報資産全般である。したがってコンピュータを導入していない部署であっても、そこで扱う情報資産の管理状況を確かめるため監査は必要となる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監…
正解：不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。
要点：保証型監査は結果の開示で利害関係者の信頼確保に役立つ
保証型の監査は、情報セキュリティ対策が基準に適合していることについて一定の保証を与えるもので、その結果を外部へ開示すれば利害関係者の信頼確保につながる。不特定多数の情報を扱うシステムのように説明責任が重い対象では、定期的な保証型監査と結果の開示が有用である。どちらの型で実施するかは監査要請者のニーズを踏まえて決めるものであり、順序が決まっているわけでもない。
出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問40（IPA）情報セキュリティに係るリスクマネジメントが効果的に実施されるよう、リスクアセスメントに基づいた適切なコントロールの整備、運用状況を検証又は評価し、保証又は助言を…
正解：情報セキュリティ監査
要点：独立した立場でコントロールを検証し保証・助言するのが情報セキュリティ監査
独立かつ専門的な立場の実施者が、情報セキュリティのコントロールの整備状況・運用状況を検証・評価し、保証または助言を与える活動は情報セキュリティ監査である。独立性が要件となる点が、自己点検型の手法と決定的に異なる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問3（IPA）情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”において，経営者がリーダシップを発揮し自ら行…
正解：b, c, d
要点：経営者の役割は方針策定・見直し・脅威動向の把握
ガイドラインでは、経営者自らが行うべき取組みとして、方針の明示（c）、対策の定期的な見直し（b）、新たな脅威に関する最新動向の収集（d）が挙げられている。いずれも組織の方向付けと資源配分に関わる判断であり、経営者のリーダシップが不可欠だからである。一方、監査計画の立案（a）は実務担当者や監査人が行う作業であり、経営者が自ら行うべき取組みには含まれない。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。