問題 No.5674
情報セキュリティ監査についての記述として、最も適切なものはどれか。
【正解の解説】
独立した専門的な監査人が、組織の情報セキュリティ対策の状況を客観的に評価し、改善のための助言や勧告を行うこと
学校のテストで自分ツッコミをしても甘くなりがちですが、外部の厳しい家庭教師や先生に「ここはダメ」と客観的に採点してもらうようなものです。利害関係のない第三者の目でチェックしてもらうことで、自社では気づけないセキュリティの穴を見つけ出し、正しい対策へ導くことができます。
スポンサーリンク
【その他の選択肢の解説】
経営陣の指示を受けた内部の担当者が、組織の情報セキュリティ上の脆弱性を自ら網羅的に検証し、具体的な対策を立案して実施すること
自分で自分の答案を丸つけするようなもので、どうしても「これくらいなら大丈夫だろう」という甘えや見落としが発生しやすくなります。情報セキュリティ監査では「第三者性」が最も重要な条件となるため、内部の担当者による実施は監査の定義から外れてしまいます。
外部の専門機関が、組織のネットワークに不正アクセスを試みることで、情報システムのセキュリティ強度を疑似的に測定して証明すること
お化け屋敷の仕掛けが本当に驚くものか、忍者が実際に侵入して確かめるような技術的な強度テストを指しています。セキュリティ対策のルールや組織体制全体を総合的に評価する情報セキュリティ監査とは、アプローチの目的や手段が大きく異なります。
情報システム部門の責任者が、組織のすべての情報資産の重要度を独自に判定し、セキュリティポリシーの遵守状況を厳しく監視すること
部活のキャプテンが自分たちの練習メニューのルールを守っているか見張っているような状態であり、客観的な第三者による評価とは言えません。ITパスポート試験では、組織の利害から離れた「独立した立場」で行われる点を見落とさせるための典型的なひっかけとしてよく出題されます。