最終更新日：2026年6月18日
sg sg-management system_audit sg-security-management isms
まず結論
情報セキュリティ監査基準とは、情報セキュリティ監査を適切に行うために、監査人が守るべき考え方や進め方を示した基準です。
SG試験では、細かい条文を暗記するよりも、情報セキュリティ管理基準との違いを押さえることが大切です。
- 情報セキュリティ監査基準：監査をどう進めるか
- 情報セキュリティ管理基準：何を基準に管理策を判断するか
つまり、監査基準は「監査人の行動ルール」、管理基準は「管理策を評価するものさし」と考えると整理しやすいです。
直感的な説明
情報セキュリティ監査を、健康診断にたとえると分かりやすいです。
健康診断では、医師が好きな順番で好きな項目だけを見るのではなく、一定の手順に沿って検査し、結果を記録し、必要に応じて指摘します。
情報セキュリティ監査も同じです。
組織の情報セキュリティ対策について、
- 何を確認するか
- どのような証拠を集めるか
- どのように判断するか
- どのように報告するか
を、監査人が場当たり的に決めてしまうと、監査結果の信頼性が下がってしまいます。
そこで、情報セキュリティ監査基準によって、監査人が守るべき基本ルールを定めています。
定義・仕組み
情報セキュリティ監査基準は、情報セキュリティ監査を実施する監査人のための基準です。
経済産業省の情報セキュリティ監査制度では、情報セキュリティ監査基準や関連ガイドラインが公開されています。 公式情報は次のページで確認できます。
- 経済産業省：情報セキュリティ監査制度 https://www.meti.go.jp/policy/netsecurity/is-kansa/
情報セキュリティ監査基準は、大きく次の3つで構成されます。
| 区分 | 役割 |
|---|---|
| 一般基準 | 監査人の独立性、専門能力、職業倫理などを定める |
| 実施基準 | 監査計画、監査手続、証拠収集などの進め方を定める |
| 報告基準 | 監査結果をどのように報告するかを定める |
SG試験では、この3区分の細かい文言よりも、監査は計画して、証拠に基づいて実施し、結果を報告するという流れを押さえると十分です。
情報セキュリティ監査の対象は「情報資産」
SG試験では、情報セキュリティ監査とシステム監査を、対象の違いで切り分ける問題が出ます。
| 監査 | 主な対象 | 判断のコツ |
|---|---|---|
| 情報セキュリティ監査 | 情報資産 | 情報を守るためのリスクとコントロールを見る |
| システム監査 | 情報システム | 情報システムの利活用・管理・統制を見る |
情報セキュリティ監査でいう情報資産には、電子データやコンピュータだけでなく、紙の資料、記憶媒体、人が記憶している重要情報なども含めて考えます。
そのため、業務用PCがほとんどない部門であっても、紙の契約書、顧客名簿、業務ノウハウなどの情報資産を扱っていれば、監査対象から外すとは限りません。
👉 判断のコツ
- 「情報資産」が対象 → 情報セキュリティ監査
- 「情報システム」が対象 → システム監査寄り
- コンピュータがない部署でも、情報資産を扱うなら監査が必要になり得る
情報セキュリティ管理基準との違い
混同しやすいのが、情報セキュリティ管理基準です。
| 用語 | 何を示すか | イメージ |
|---|---|---|
| 情報セキュリティ監査基準 | 監査人がどう監査するか | 監査の進め方 |
| 情報セキュリティ管理基準 | 管理策が適切かを何で判断するか | 判断のものさし |
たとえば、従業員の守秘義務を監査する場合、
- 監査基準：監査計画を立て、証拠を集め、結果を報告するためのルール
- 管理基準：守秘義務やアクセス管理などが適切に整備されているかを判断する基準
という関係になります。
どんな場面で使う？
情報セキュリティ監査基準は、組織の情報セキュリティ対策を第三者または内部監査部門が確認する場面で使われます。
外部監査で使う
外部の監査人に依頼して、組織の情報セキュリティ対策を確認する場合に使われます。
例えば、取引先や顧客に対して、情報セキュリティ管理が適切であることを説明したい場合です。
このとき、監査人が好きな方法で確認するのではなく、一定の基準に沿って監査することで、監査結果の信頼性を高めます。
内部監査で使う
社内の内部監査部門が、情報セキュリティ対策の整備状況や運用状況を確認する場合にも使えます。
例えば、
- アクセス権限が定期的に見直されているか
- 委託先との契約に守秘義務が含まれているか
- インシデント対応手順が整備されているか
- 教育訓練が実施されているか
といった点を確認します。
保証型監査と助言型監査
情報セキュリティ監査には、組織の対策が適切かを評価する性格のものだけでなく、改善のための助言を行う性格のものもあります。
SG試験では、監査を「違反を見つけて罰するためだけのもの」と考えると引っかかりやすいです。
監査は、問題点を見つけるだけでなく、組織の情報セキュリティ管理を改善するためにも使われます。
| 監査の型 | 主な目的 | SG試験での判断ポイント |
|---|---|---|
| 保証型監査 | 情報セキュリティ対策の適切性について、一定の保証を与える | 外部の利害関係者に監査結果を示して信頼性を高めたい場面で出やすい |
| 助言型監査 | 情報セキュリティ対策の改善に役立つ助言を行う | 内部改善、改善提案、助言、支援という表現と結び付ける |
多くの外部関係者に影響する情報システムでは、外部から見た信頼性が重要になるため、保証型監査を計画的に実施し、必要に応じて結果を示すという説明は正解候補になります。
一方で、次のような表現は試験で誤りとして切りやすいです。
| 選択肢の表現 | 判断 |
|---|---|
| 保証型から助言型へ必ず移行する手順だと説明する | 監査の型を一方向の手順として固定しているため不適切 |
| 2つの型を絶対に併用できないものとして扱う | 監査目的や利用者のニーズを無視しているため不適切 |
| 監査の目的や利用者を考慮せず、監査人だけの都合で型を決める | 監査の目的・範囲・利用者を考慮しない説明なので不適切 |
👉 判断ポイント 「外部の信頼を得る・結果を開示する」なら保証型、 「改善を支援する・助言する」なら助言型 と整理します。
よくある誤解・混同
誤解1：情報セキュリティ監査は、コンピュータのある部署だけを対象にする
これは誤りです。
情報セキュリティ監査の対象は、情報システムだけではなく、情報資産です。紙の資料や記憶媒体などを扱う部署も、情報セキュリティ上のリスクがあれば監査対象になります。
選択肢で、
PCを使っていない部門は、情報セキュリティ監査の対象外である
のように書かれていたら、情報資産の有無を確認します。
誤解2：情報セキュリティ監査基準は、管理策の一覧である
これは誤りです。
管理策の妥当性を判断するための基準は、主に情報セキュリティ管理基準です。
情報セキュリティ監査基準は、監査人が監査を行うときの基本的な進め方や報告の考え方を示します。
選択肢で、
情報セキュリティ監査基準は、アクセス制御や守秘義務などの具体的な管理策を列挙したものである
のように書かれていたら注意です。
誤解3：監査人は、思いついた順に確認すればよい
これも誤りです。
監査では、監査計画を立て、監査手続を決め、証拠を収集し、判断し、報告します。
SG試験では、計画性と証拠に基づく判断が重要です。
誤解4：監査は外部の専門家だけが行うもの
これも誤りです。
情報セキュリティ監査基準は、外部監査だけでなく、内部監査でも利用できます。
社内の内部監査部門が、情報セキュリティ対策の整備状況や運用状況を確認する場合にも関係します。
誤解5：監査報告は、問題点だけを書けばよい
監査報告では、監査の目的、範囲、手続、結果などを適切に示す必要があります。
単に「問題がありました」と書くだけでは、監査結果として不十分です。
SG試験では、監査報告は証拠に基づいて、関係者が改善判断できる形で示すものと考えます。
まとめ（試験直前用）
- 情報セキュリティ監査基準は、監査人が監査をどう進めるかを示す基準である
- 情報セキュリティ管理基準は、管理策が適切かを判断するものさしである
- 監査基準は、一般基準・実施基準・報告基準で構成される
- 情報セキュリティ監査の主な対象は、情報システムではなく情報資産である
- コンピュータがない部署でも、紙資料などの情報資産を扱うなら監査対象になり得る
- 監査では、計画、証拠収集、判断、報告の流れが重要
- SG試験では、「監査基準＝進め方」「管理基準＝判断基準」と切り分ける
確認問題
営業部門が紙の契約書や顧客名簿を扱っているが、業務用PCは利用していない。この部門を情報セキュリティ監査の対象として考えるとき、最も適切な判断はどれか。
- ア. 情報資産を扱っているため、監査対象になり得る。
- イ. 情報システムを使っていないため、監査対象から必ず除外する。
- ウ. 監査対象はサーバやネットワーク機器だけなので、紙資料は対象外である。
- エ. 情報セキュリティ監査ではなく、必ずシステム監査として実施する。
▶ クリックして答えと解説を見る（ここを開く）
正解：ア
解説
情報セキュリティ監査は、情報システムそのものだけではなく、情報資産を守るためのリスクとコントロールを確認する監査です。
- ア：正しい説明です。紙資料などの情報資産を扱うなら、コンピュータの有無だけで対象外とは判断しません。
- イ：コンピュータがないだけで監査不要とはいえません。
- ウ：情報資産には紙資料や記憶媒体なども含めて考えます。
- エ：情報資産の保護が中心なら情報セキュリティ監査の文脈で考えます。
👉 判断ポイント
情報セキュリティ監査＝情報資産、システム監査＝情報システムで切り分ける。
情報セキュリティ監査基準の説明として、最も適切なものはどれか。
- 情報セキュリティ監査を行う監査人の行動や監査の進め方、報告の考え方を示す基準である。
- 組織が実施すべきアクセス制御、守秘義務、委託先管理などの管理策だけを具体的に列挙した基準である。
- 情報セキュリティ監査で見つかった問題に対して、監査人が直接改善命令を出すための基準である。
- 外部監査だけを対象とし、内部監査では利用できない基準である。