解説

情報資産のライフサイクルに従って実施される情報セキュリティ監査では、システムに格納された情報だけでなく、紙の文書など情報システム以外で保有する情報資産も含め、組織が保有する全ての情報資産を対象とすべきです。よって正解はdの「保有している全ての情報資産」です。a・b・cはいずれも情報資産の一部に対象を限定しており、漏れが生じるため適切ではありません。

なぜ他の選択肢は違うのか

選択肢 ア

情報資産を管理している情報システムだけに限定すると、紙の文書など情報システム以外の情報資産が監査対象から漏れてしまうため不十分です。

選択肢 イ

情報システム以外で保有する情報資産だけに限定すると、情報システムが扱う情報資産が対象から外れてしまい、監査範囲として不十分です。

選択肢 ウ

情報システムが保有する情報資産だけに限定すると、システム外の紙媒体などの情報資産が監査対象から漏れるため適切ではありません。

解くときのポイント

情報セキュリティ監査の対象は「保有する全ての情報資産」と捉えます。電子データだけでなく紙文書なども含む点に注意しましょう。