正解：イ
各選択肢の解説
アシステム監査。情報システムが経営目的に合い、有効かつ効率的で安全かを確かめる。
誤り。システム監査の対象は情報システムです。アクセス権の設定は含まれますが、 紙の申込書の保管や従業員教育はシステムの外にあります。 また、システムが業務に役立っているかまで見る点で、守ることに絞った設問とは関心が違います。
イ情報セキュリティ監査。情報資産を守る管理策が、基準に照らして適切かを確かめる。
正解。情報セキュリティ監査の対象は、電子データに限らず紙の書類や設備、人も含む情報資産全体です。 アクセス権、書類の保管、入退室、教育をまとめて点検する設問の範囲に合います。
ウ業務監査。各部門の業務が規程や経営方針に沿い、効率的に行われているかを確かめる。
誤り。業務監査は業務全般の進め方を見る監査で、情報を守ることに的を絞ったものではありません。 書類の保管や入退室も業務の手順ではありますが、 設問のように情報漏えいを防ぐ対策を体系的に点検するのは情報セキュリティ監査です。
エ内部統制監査。財務報告に係る内部統制が有効かを、経営者の評価をもとに確かめる。
誤り。これは内部統制報告制度（J-SOX）で行われる監査で、関心は財務報告の信頼性です。 ITの統制としてアクセス権も評価されるため近く見えますが、 顧客情報を守るための保管や入退室、教育の点検は目的が異なります。
理解を深めるために
情報セキュリティ監査は「情報を守れているか」を全体で見る監査
家の防犯点検にたとえると、玄関の電子錠だけでなく、窓の鍵、郵便物の置き場所、 家族が知らない人を家に入れていないかまで確かめるイメージです。 情報セキュリティ監査も同じで、守る対象はコンピュータの中のデータに限りません。 紙の書類、部屋や設備、そこで働く人まで含めた情報資産全体の守りを点検します。
何を確かめるのか
情報を守る対策（管理策）は、大きく次のように分けて考えられます。
- 技術的な対策：アクセス権の設定、パスワード管理、ログの取得
- 物理的な対策：入退室管理、書類や媒体の施錠保管
- 人的・組織的な対策：従業員教育、規程の整備、事故時の対応手順
経済産業省の情報セキュリティ監査制度では、これらの対策が「情報セキュリティ管理基準」 などの基準に照らして適切に整備・運用されているかを確かめます。 設問は技術・物理・人の三方面をそろって対象にしており、この監査に当てはまります。
混同しやすいものとの違い
| 監査 | 主に見るもの |
|---|---|
| 情報セキュリティ監査 | 紙や人も含む情報資産を守る対策が適切か |
| システム監査 | 情報システムが目的に合い、有効・効率的で安全か |
| 業務監査 | 業務全般が規程や方針に沿い、効率的に行われているか |
| 内部統制監査 | 財務報告に係る内部統制が有効か |
見分けるポイントは範囲と目的です。システムの外（紙・部屋・人）まで含み、 目的が情報を守ることに絞られていれば情報セキュリティ監査、 システムが役に立っているかまで含めて見るならシステム監査と判断します。