問57令和3年度 秋期マネジメント系
経済産業省 “情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）” における，情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監査（保証型の監査）と情報セキュリティ対策の改善に役立つ助言を行うことを目的とする監査（助言型の監査）の実施に関する記述のうち，適切なものはどれか。
- ア同じ監査対象に対して情報セキュリティ監査を実施する場合，保証型の監査から手がけ，保証が得られた後に助言型の監査に切り替えなければならない。
- イ情報セキュリティ監査において，保証型の監査と助言型の監査は排他的であり，監査人はどちらで監査を実施するかを決定しなければならない。
- ウ情報セキュリティ監査を保証型で実施するか助言型で実施するかは，監査要請者のニーズによって決定するのではなく，監査人の責任において決定する。
- エ不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。
正解はエ
解説 本サイト独自（IPA公表のものではありません）
エ 保証型の監査とは，対策の適切性について一定の保証を与える監査である。不特定多数の利害関係者の情報を扱うシステムでは，対策の適切性を定期的に確認し，結果を開示することが，利害関係者の信頼を得る上で有用である。
- ア 保証型と助言型に決められた実施順序はなく，保証を得てからでなければ助言型へ移れないという制約もない。
- イ 保証型と助言型は目的が異なるが，互いに排他的ではなく，同じ監査で双方の目的に応じた対応を行うこともできる。
- ウ 監査の型は，監査人が単独の責任で選ぶものではなく，保証又は改善助言を求める監査要請者のニーズに応じて決定する。
この解説は間違っています
この解説は，別のモデルによるレビューを受けています。
出典：令和3年度 秋期 応用情報技術者試験 午前 問57