解説

経済産業省『情報セキュリティ監査基準』では，監査の目的によって，対策の適切性に一定の保証を与える『保証型』と，改善のための助言を行う『助言型』に分けられます。不特定多数の利害関係者の情報を扱う情報システム（例：多くの利用者の個人情報を預かるシステム）では，対策が適切であることを利害関係者に示す必要があるため，保証型の監査を定期的に実施し，その結果を開示することが有用です。したがって正解はd『不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である』です。選択肢aは保証型から助言型へ移行できないとする点が誤り，bは保証型と助言型が排他的でどちらか一方しか実施できないとする点が誤り，cは保証型か助言型かを監査要請者のニーズではなく監査人の責任で決めるとする点が誤りです。監査の型は目的・ニーズに応じて選べる点が要点です。

なぜ他の選択肢は違うのか

選択肢 ア

同じ監査対象に対して，保証型から助言型へ移行できないという制約はありません。監査の目的に応じて型を選択・変更でき，移行が禁じられているわけではありません。

選択肢 イ

保証型の監査と助言型の監査は排他的ではありません。目的に応じて使い分けるものであり，どちらか一方しか実施できないという記述は誤りです。

選択肢 ウ

保証型で実施するか助言型で実施するかは，監査要請者（依頼者）のニーズや目的に応じて決定します。監査人の責任だけで決めるという記述は誤りです。

解くときのポイント

情報セキュリティ監査は目的で『保証型（適切性の保証）』と『助言型（改善助言）』に分かれる。多数の利害関係者向けは保証型＋結果開示が有用。両者は排他でない。