令和3年度 春期 ITサービスマネージャ試験 午前Ⅱ 問14
マネジメント／システム監査情報セキュリティ監査基準（Ver 1.0）における，情報セキュリティに保証を付与することを目的とした監査（保証型の監査）と，情報セキュリティに対して助言を行うことを目的とした監査（助言型の監査）とに関する記述のうち，適切なものはどれか。
出典：令和3年度 春期 ITサービスマネージャ試験 午前Ⅱ 問14
- ア助言型の監査とは，監査上の判断の尺度として情報セキュリティ管理基準を利用するか否かにかかわらず，情報セキュリティ上の問題点の指摘と改善提言は監査人の自由裁量で行う監査のことである。
- イ助言型の監査とは，監査対象の情報セキュリティに関するマネジメントやコントロールの適切な運用を目的として，情報セキュリティ上の問題点について改善を命令する監査のことである。
- ウ保証型の監査とは，監査手続を実施した限りにおいて，監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査のことである。
- エ保証型の監査とは，監査の結論としてインシデントが発生しないことをステークホルダに対して保証する監査のことである。
正解：ウ
解説
情報セキュリティ監査基準における保証型の監査は，監査手続を実施した限りにおいて，監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査です。これに対し助言型の監査は，情報セキュリティ管理基準などを判断の尺度として問題点を指摘し，改善のための助言を行うものであり，監査人の自由裁量による指摘や，改善の命令，インシデント不発生の保証を行うものではありません。
選択肢ごとの解説
- ア誤り。助言型の監査でも，情報セキュリティ管理基準などの判断の尺度に基づいて問題点の指摘と改善提言を行い，監査人の自由裁量で行うものではありません。
- イ誤り。助言型の監査は改善提言を行うものであり，改善を命令するものではありません。
- ウ正しい。保証型の監査とは，監査手続を実施した限りにおいて，監査対象のマネジメントやコントロールが適切か否かを保証する監査です。
- エ誤り。保証型の監査は，インシデントが発生しないことを保証するものではなく，マネジメントやコントロールの適切性を保証するものです。