社内の監査部（どの業務部門からも独立している）が、情報セキュリティ管理基準を物差しにして、 営業部の情報セキュリティ対策を監査した。監査では営業部のシステムの設定も確かめた。 この監査の説明として最も適切なものはどれか。

正解：イ

各選択肢の解説

1. ア社内の者が行う確認なので監査ではなく自己点検にあたり、情報セキュリティ監査とは呼べない。

   誤り。自己点検は、対策を運用している部門が自分で確かめることです。この監査部は営業部から独立しているので、 社内の者でも監査にあたります。社内か社外かではなく、監査対象から独立しているかで区別します。

2. イ実施する者で分ければ内部監査、物差しと対象で分ければ情報セキュリティ監査にあたる。

   正解。内部監査かどうかは「誰が行うか」、情報セキュリティ監査かどうかは「何を物差しに何を確かめるか」で決まります。 軸が違うので、1つの監査が両方に当てはまります。

3. ウ経済産業省の告示である基準を物差しにするので、法令の遵守を確かめるコンプライアンス監査にあたる。

   誤り。コンプライアンス監査は、法令や社内規程、社会の規範が守られているかを確かめる監査です。 情報セキュリティ管理基準は守るべき法令ではなく、対策の良し悪しを測る物差しなので、これを使っても法令遵守の監査にはなりません。

4. エシステムの設定まで確かめているので、情報セキュリティ監査ではなく、システム監査として扱う。

   誤り。システムの設定を見たかどうかで監査の種類は変わりません。システム監査の物差しはシステム管理基準で、 情報システムの利活用を確かめます。この監査は情報セキュリティ管理基準で情報セキュリティ対策を確かめています。

理解を深めるために