保証型監査と助言型監査
A 社は，取引先から，A 社が運用する受発注システムの情報セキュリティ対策が適切であることを，第三者の立場から示すよう求められた。A 社が実施する監査又は点検として，最も適切なものはどれか。
- ア外部の監査人から情報セキュリティ対策の改善の方向性について助言を受けることを目的とした，助言型監査
- イ受発注システムの運用部門が，自ら作成したチェックリストで対策の実施状況を点検する自己点検
- ウ受発注システムを開発・運用している委託先ベンダの技術者が，内部構成に詳しい立場から対策を評価する監査
- エ独立した監査人が監査手続を実施して監査証拠を入手し，対策が適切であることについて保証を与える，保証型監査
正解と解説を見る
正解 エ
この問題の基礎知識
- 情報セキュリティ監査は，監査対象から独立した監査人が，監査証拠に基づいて情報セキュリティ対策の適切性を評価し，意見を表明するものである。
- 情報セキュリティ監査には，対策の水準を保証することを目的とする保証型監査と，改善のための助言を目的とする助言型監査がある。
- 自己点検は対策を実施している部門自身が行う確認であり，独立した立場から評価する監査とは区別される。
ア外部の監査人から情報セキュリティ対策の改善の方向性について助言を受けることを目的とした，助言型監査
助言型監査は，被監査組織に対して対策の改善の方向性を助言することを目的とする。改善には役立つが，取引先に対して対策の水準を保証することを目的とするものではない。
イ受発注システムの運用部門が，自ら作成したチェックリストで対策の実施状況を点検する自己点検
自己点検は運用部門が自らの対策を確認するものであり，第三者の立場からの評価にはならない。取引先に示す根拠としては，監査対象から独立した者による評価が必要である。
ウ受発注システムを開発・運用している委託先ベンダの技術者が，内部構成に詳しい立場から対策を評価する監査
監査対象のシステムを開発・運用している者は，監査対象から独立していない。監査人は監査を客観的に実施するために監査対象から独立している必要があり，この評価は第三者の立場からの意見にはならない。
エ独立した監査人が監査手続を実施して監査証拠を入手し，対策が適切であることについて保証を与える，保証型監査正解
保証型監査は，監査対象の情報セキュリティ対策の水準を外部の利害関係者に対して保証することを目的とする。取引先に対策が適切であることを示すという A 社の目的に合致する。
検証用の出典出典照合済み
総務省 地方公共団体における情報セキュリティ監査に関するガイドライン（令和 4 年 3 月版） ／ 経済産業省 情報セキュリティ監査基準照合の根拠（3 件）
- エ（正解）: 保証型監査は外部の利害関係者（住民や議会等）に対して情報セキュリティの水準を保証することを目的とする。ア（誤り）: 助言型監査は被監査組織に改善の方向性を助言することが目的で，水準を保証するものではない
外部監査の形態には、当該地方公共団体に対し、情報セキュリティ対策の改善の方向性を助言することを目的とする助言型監査と、住民や議会等に対し、情報セキュリティの水準を保証することを目的とする保証型監査がある。
総務省 地方公共団体における情報セキュリティ監査に関するガイドライン（令和 4 年 3 月版） · 第 1 章 1.3 (3) 助言型監査と保証型監査（新しいタブで開きます） - イ（誤り）: 運用部門が自ら行う検証は監査ではなく自己点検であり，独立した立場からの評価にならない
なお、内部監査の場合も被監査部門から独立した監査人等が監査を行うことが必要であり、情報システム等を運用する者自らによる検証を行う場合は、監査ではなく自己点検になる。
総務省 地方公共団体における情報セキュリティ監査に関するガイドライン（令和 4 年 3 月版） · 第 1 章 1.3 (2) 内部監査と外部監査（新しいタブで開きます） - ウ（誤り）: 監査対象のシステムを開発・運用している委託先の技術者は監査対象から独立しておらず，監査人の要件を満たさない
監査人は、監査を客観的に実施するために、監査対象から独立していなければならない。
総務省 地方公共団体における情報セキュリティ監査に関するガイドライン（令和 4 年 3 月版） · 情報セキュリティ監査実施要綱（例） 第 5 条第 1 項（新しいタブで開きます）
取引先（外部の利害関係者）に対し，対策が適切であることを第三者の立場から示すことが目的なので，監査対象から独立した監査人が水準を保証する保証型監査（エ）が該当する。改善の助言（ア），運用部門の自己点検（イ），開発・運用者による評価（ウ）はいずれもこの目的を満たさない。前段の解説にあった「外観上の独立性」の用語は読める資料で確認できなかったため，ウの解説をガイドラインの「監査対象から独立していなければならない」に沿う表現に改めた。