情報セキュリティ監査
この領域で問われること
情報セキュリティ監査は、組織の対策が基準に適合し有効に運用されているかを、独立性を保って検証する領域である。監査の種類、手続、証拠の評価、報告とフォローアップが問われる。
監査の基礎
- 目的は保証と助言である。内部監査と外部監査があり、監査人は被監査部門から独立する。内部監査は経営者に直接報告する。
- 適合性監査は基準への適合を、運用監査は有効性を確認する。JIS Q 27007はISMS監査の指針になる。
- 手続は監査計画、予備調査、本調査、証拠の評価、監査報告、フォローアップの順に進む。本調査では文書レビュー、ヒアリング、観察、再実施を組み合わせる。
- 監査証拠は十分性と適切性を備える必要があり、サンプリングの偏りに注意する。
例題で確認
退職者のアカウント削除が運用されているかを確認する。規程とアカウント台帳を入手し、退職者リストと突合する。さらに10件を抽出して削除日を確認したところ2件が残存していた。これは不適合であり、原因は人事部門との連携不足である。是正処置として連携フローと月次突合を提案し、次回監査で有効性を確認する。
失点しやすい点
監査人が自ら改善策を実行して独立性を損なう。ヒアリングだけで結論を出す。少数のサンプル結果を全体に一般化する。指摘の根拠となる証拠を記録しない。監査とコンサルティングを混同する。