正解：ア
各選択肢の解説
ア情報セキュリティ管理基準
正解。情報セキュリティ管理基準は、組織が実施すべき情報セキュリティの管理策を示した基準で、 情報セキュリティ監査では、監査人がこれを判断の尺度として用いるのが原則です。
イ情報セキュリティ監査基準
誤り。情報セキュリティ監査基準は、監査人がどう監査を行い、どう報告するかを定めた監査人の行為規範です。 名前が似ていて取り違えやすいのですが、監査を受ける側の対策を測る物差しではありません。
ウシステム監査基準
誤り。システム監査基準は、システム監査を行う監査人の行為規範です。情報セキュリティ監査の基準とは別の文書で、 しかも監査人の側の決まりなので、部門の対策を測る物差しにはなりません。
エJIS Q 15001
誤り。JIS Q 15001 は個人情報保護マネジメントシステムの要求事項で、個人情報保護監査の物差しです。 個人情報の安全管理は情報セキュリティと重なりますが、情報セキュリティ監査の原則の尺度ではありません。
理解を深めるために
「監査人の決まり」と「測る物差し」は別の文書
試験にたとえると、試験監督の手順を定めたマニュアルと、答案を採点する模範解答は別物です。 情報セキュリティ監査でも、監査人の振る舞いを決める文書と、対策の良し悪しを測る文書が分かれています。
- 情報セキュリティ監査基準: 監査人の行為規範（監督のマニュアルにあたる）
- 情報セキュリティ管理基準: 監査上の判断の尺度（模範解答にあたる）
情報セキュリティ監査基準に従った監査では、情報セキュリティ管理基準を判断の尺度として用いるのが原則です。
監査を受ける側が知っておくこと
情報セキュリティ管理基準は、JIS Q 27001・JIS Q 27002 と整合するように作られており、 組織が実施すべき管理策が並んでいます。監査を受ける部門の担当者は、この基準の管理策に照らして 自部門の対策と、その運用の記録を確かめておくと準備になります。
なお、両基準は令和7年（2025年）に改正されています。古い資料で準備するときは版に注意します。
混同しやすいものとの違い
| 文書 | 役割 |
|---|---|
| 情報セキュリティ管理基準 | 情報セキュリティ監査の判断の尺度 |
| 情報セキュリティ監査基準 | 情報セキュリティ監査を行う監査人の行為規範 |
| システム監査基準 | システム監査を行う監査人の行為規範（尺度はシステム管理基準） |
| JIS Q 15001 | 個人情報保護監査の尺度 |
「監査基準」は監査人の側、「管理基準」は監査を受ける側の物差し、と名前で覚えると取り違えません。