情報セキュリティ監査

情報セキュリティ監査は、組織の情報セキュリティに関するリスクへの管理策が、定めた基準に適合し、有効に実施・維持されているかを、独立した立場から証拠に基づいて点検・評価する活動です。

■ 試験で押さえるポイント

• 機密性、完全性、可用性に関する方針、リスク評価、人的・物理的・技術的・組織的管理策を対象にします。

• 法令、契約、組織規程、管理基準などを監査基準とし、文書、設定、ログ、観察、インタビューから証拠を得ます。

• 準拠しているかだけでなく、管理策が対象リスクを実際に低減しているか、有効性も評価します。

• 脆弱性診断や侵入試験は証拠を得る技術の一部になり得ますが、それだけで監査全体を構成するものではありません。

■ 選択肢での判断ポイント

情報セキュリティ管理策の適合性・有効性を独立評価する監査として、診断、日常点検、システム監査全般と区別します。

例: アクセス権管理について規程、承認記録、実際の権限、退職者ID、ログを照合し、運用の有効性を評価します。