解説

情報セキュリティ監査とは、組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかを、独立した第三者的な立場から検証・評価する活動です。単なる技術的チェックではなく、情報セキュリティポリシーの整備状況・リスク評価プロセス・管理策の有効性・コンプライアンスなどを総合的に評価します。経済産業省の「情報セキュリティ監査基準」に基づいて実施されます。IT監査（ITガバナンスの評価）とは範囲が一部重なりますが、情報セキュリティに特化した点が特徴です。

なぜ他の選択肢は違うのか

選択肢 ア

「IT利用に係る検証・評価を行いガバナンスの適切性に対する保証や助言を行うもの」はIT監査（システム監査）の説明です。情報セキュリティ監査よりも広いIT全般のガバナンス・コントロールを評価するものです。ITシステムの利用全般を対象とするIT監査と、情報資産のセキュリティリスク管理に特化した情報セキュリティ監査を区別しましょう。

選択肢 イ

「コンピュータの盗難や不正な持出しを物理的に防止するツール」は物理的セキュリティ対策（ケーブルロック・ICカード入退室管理など）の説明です。これは監査ではなく対策（コントロール）の説明であり、監査はそれらの対策が適切に機能しているかを評価するものです。

選択肢 ウ

「ITシステムの利活用のあるべき姿を示すIT戦略と方針の策定及びその実現のための活動」はITガバナンスの説明です。ガバナンスは組織全体のIT活動の方向付けと監督を行う上位概念であり、情報セキュリティリスク管理の監査とは異なります。

解くときのポイント

情報セキュリティ監査＝「情報資産のリスクマネジメントが効果的に実施されているかの検証・評価」。「リスクマネジメント」「効果的に実施されているか」がキーワード。IT監査（IT全体のガバナンス評価）との違いに注意。