情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

情報セキュリティ監査基準（保証型監査と助言型監査）

じょうほうせきゅりてぃかんさきじゅん / Information Security Audit Standards

経済産業省が策定した、組織の情報セキュリティマネジメントおよびコントロールの適切性を独立・専門的な立場から検証・評価するための監査基準です。

3行速習ポイント

経済産業省が策定した、組織の情報セキュリティマネジメントおよびコントロールの適切性を独立・専門的な立場から検証・評価するための監査基準です。
情報セキュリティ管理基準（JIS Q 27001 / 27002ベース）を判断の尺度とし、外部への信頼性付与を目的とする「保証型監査」と、内部の改善支援を目的とする「助言型監査」を使い分けます。
試験対策：午前IIの頻出知識であり、午後試験においても情報セキュリティ監査の計画・実施・報告の準拠フレームワークとなります。

図解

図情報セキュリティ監査の体系（監査基準・管理基準・2つの監査類型）構成要素・基本原則

監査人の行動規範（監査基準）と判断の物差し（管理基準）の連携

🏛 情報セキュリティ監査の体系（監査基準・管理基準・2つの監査類型）（中核を構成する 3 つの柱）

監査の行動規範

情報セキュリティ監査基準（監査人の行動規範）

監査人の専門能力・独立性・計画・実施・報告のルール

情報セキュリティ監査を行う監査人が遵守すべき原則を定め、システム監査基準と整合した品質管理と監査プロセスを規定する。

評価のクライテリア

情報セキュリティ管理基準（判断の尺度）

組織が整備・運用すべき情報セキュリティマネジメントと管理策

組織的・人的・物理的・技術的セキュリティ管理策のベストプラクティスを示し、監査人が被監査組織の統制を評価する際の判断基準となる。

2つの監査類型

保証型監査と助言型監査の連携

対外的信頼性の証明（保証）と組織内部の弱点改善（助言）

取引先や顧客への説明責任を果たす保証型監査と、自社のセキュリティ成熟度を高める助言型監査を目的に応じて計画・実施する。

💡 システム監査基準がIT全般（信頼性・安全性・効率性・戦略性）を対象とするのに対し、情報セキュリティ監査基準は情報資産の機密性・完全性・可用性（CIA）に特化しています。

概要と本質

経済産業省が策定した、組織の情報セキュリティマネジメントおよびコントロールの適切性を独立・専門的な立場から検証・評価するための監査基準です。情報セキュリティ管理基準（JIS Q 27001 / 27002ベース）を判断の尺度とし、外部への信頼性付与を目的とする「保証型監査」と、内部の改善支援を目的とする「助言型監査」を使い分けます。