分野 T｜ビジネス・技術
システム監査・情報セキュリティ監査
今の制度の過去問（6回分）では、フォローアップの意味、指摘事項にすべき状況、監査人の行為やチェックポイント、管理基準の記述を選ぶ問題が、6問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『3 監査／情報システムに関係する監査』『3 監査／システム監査の目的』『3 監査／システム監査の実施』
最終更新
問われ方
- 監査の手順（フォローアップなど）の説明を選ぶ形
- 監査で判明した状況から、指摘事項として記載すべき物を選ぶ形
- システム監査人の適切な行為や、チェックポイントを選ぶ形
- 情報セキュリティ管理基準（平成28年）の記述を選ぶ形
- 問われるとしたら：被監査側として、監査への適切な対応を選ぶ形
- 問われるとしたら：監査の種類の区別を選ぶ形
覚えること
- システム監査：情報システムを、独立した立場から検証し、評価して、保証又は助言を行う
- 情報セキュリティ監査：情報セキュリティ対策の状況を、基準に照らして評価する
- 個人情報保護監査：個人情報の取扱いが、法令や社内の決まりに合うかを評価する
- コンプライアンス監査：法令や社内規程などを守れているかを評価する
- 内部監査：組織内の部門などが、組織の活動を評価する
- システム監査人の権限と責任等：監査規程などの文書で、あらかじめ定める
- 監査人の倫理：公正に判断し、職務上知り得た情報の秘密を守る
- 監査の独立性と客観性の保持：監査対象から独立し、先入観なく、証拠で判断する
- 監査人は、監査の対象となる業務の整備や運用そのものを行わない
- システム監査基準：監査を行う人の行為規範となる基準
- システム管理基準：情報システムの管理を評価する際の判断の尺度となる基準
- 情報セキュリティ管理基準（平成28年）：マネジメント基準と管理策基準から成り、JIS Q 27001・27002と整合
- 監査プロセス：予備調査（概要の把握）、本調査（証拠の検証）、結論の順
- 監査証拠（結論の根拠となる資料）の提供：被監査側は、求められた資料を事実のまま示す
- 監査報告書：結論と指摘事項、改善提案を、依頼者などに報告する
- 指摘事項：基準に照らして問題のある状況。問題のない状況は、指摘事項に記載しない
- 改善提案のフォローアップ：改善措置が実施されたかを、監査人が確認する
- 被監査側：指摘に対して改善計画を立てて実施し、結果を示してフォローアップを受ける
- 参考：令和7年改正版の情報セキュリティ管理基準は、ガバナンス基準を加えた三つの基準から成る
ひっかけ
- 監査人が行うこと（検証・評価）と、被監査側が行うこと（整備・運用）の取りちがえ
- フォローアップ（改善の確認）と監査報告（結論の報告）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
C さんの対応として、最も適切なものはどれか。
A 社の営業部の責任者の C さんの部門に、システム監査人が来て、アクセス権限の見直し記録の提示を求めた。実際の運用では、見直しの記録が数か月分抜けている。
正解：ウ 抜けがあることも含め、記録を事実のまま提示し、改善を計画して実施する
ポイント
被監査側として、監査証拠の提供に適切に対応する問題です。
考え方と解き方
記録を整えて見せたくなる場面ですが、監査人は証拠をもとに判断します。被監査側の責任者の立場なら、事実を示した上で、足りない点をどう改善するかを先に考えます。
- 監査証拠は、監査人が結論の根拠にする資料です。被監査側は、求められた資料や記録を、不備があっても事実のまま示します。
- そのうえで、抜けの原因を見直し、改善計画を立てて実施します。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 記録をあとから作ると、事実と異なる証拠を示すことになります。監査証拠の提供として適切ではありません。
- イ 監査の独立性は、監査人が保つものです。被監査側が記録の提示を断ると、監査の実施を妨げます。
- エ 不備のある部分を伏せると、事実の一部しか示さないことになります。監査証拠の提供として適切ではありません。
覚えておくこと
- 監査証拠（結論の根拠となる資料）の提供：被監査側は、求められた資料を事実のまま示す
- 被監査側：指摘に対して改善計画を立てて実施し、結果を示してフォローアップを受ける
（テーマ・覚えること）
システム監査人の行為として、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の D さんは、研修用に、システム監査人の行為を次の a〜c にまとめた。
- a システム監査人は、監査の対象となる業務の担当から独立した立場で、証拠に基づき判断する。
- b システム監査人は、監査で知った被監査側の情報について、職務上の秘密を守る。
- c システム監査人は、指摘した不備の改善を、自ら被監査側の業務に入って実施する。
正解：ア a、b
ポイント
システム監査人に求められる独立性と倫理を、行為から選ぶ問題です。
考え方と解き方
監査人は、評価する立場にあります。評価する人が、評価される業務の整備や運用を自分で行うと、自分の仕事を自分で評価することになります。この点で a と c を見比べます。
- a は適切です。b は適切です。守秘は監査人の倫理に含まれます。c は不適切です。改善を自ら実施すると、独立性と客観性が損なわれます。改善の確認は、フォローアップで行います。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ c は不適切です。また、b も適切なので、a、c では組合せが合いません。
- エ c は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 監査の独立性と客観性の保持：監査対象から独立し、先入観なく、証拠で判断する
- 監査人の倫理：公正に判断し、職務上知り得た情報の秘密を守る
- 監査人は、監査の対象となる業務の整備や運用そのものを行わない
（テーマ・覚えること）
D さんの対応として、最も適切なものはどれか。
B 社の情報システム部の D さんは、内部監査の監査報告書で、サーバー室の入退室の記録が一部の期間で作成されていない、との指摘を受けた。監査人は、改善の状況を後日確認する、と伝えている。
正解：エ 改善の計画と担当、期限を決めて実施し、結果を示して確認を受ける
ポイント
指摘事項を受けた被監査側の対応と、フォローアップを問う問題です。
考え方と解き方
指摘は、改善のきっかけです。報告書を直させたり、運用を変えずに待ったりすると、問題が残ります。情報システム部の立場なら、何をいつまでに直すかを先に考えます。
- 指摘された状況に対して、改善の計画と担当、期限を決め、実施します。
- 監査人は、改善措置が実施されたかをフォローアップで確認するので、結果を示します。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 計画を立てずに再調査を求めても、改善は進みません。改善をするのは被監査側です。
- イ 完了かどうかは、監査人が確認することです。報告書を書き直させるのは、適切ではありません。
- ウ 運用を変えないと、指摘された状況が残ります。納得できない点は、根拠を示して説明するのが適切です。
覚えておくこと
- 被監査側：指摘に対して改善計画を立てて実施し、結果を示してフォローアップを受ける
- 改善提案のフォローアップ：改善措置が実施されたかを、監査人が確認する
（テーマ・覚えること）
監査の説明として、最も適切なものはどれか。
正解：イ 情報セキュリティ監査は、情報セキュリティ対策の状況を基準に照らして評価する監査である。
ポイント
監査の種類を取りちがえずに選ぶ問題です。
考え方と解き方
監査は、何を対象に、何に照らして評価するかで区別します。名前の似た監査どうしを入れかえた記述が誤りになります。
- 情報セキュリティ監査は、情報セキュリティ対策の状況を、基準に照らして評価する監査です。
- 他の記述は、別の監査の説明か、定義と異なります。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 個人情報の取扱いが法令や社内の決まりに合うかを評価するのは、個人情報保護監査の説明です。
- ウ 情報システムの効率性を評価するのは、システム監査の側の説明です。コンプライアンス監査は、法令や社内規程を守れているかを評価します。
- エ 内部監査は、組織内の部門などが、組織の活動を評価する監査です。外部の第三者が行う監査ではありません。
覚えておくこと
- 情報セキュリティ監査：情報セキュリティ対策の状況を、基準に照らして評価する
- 個人情報保護監査：個人情報の取扱いが、法令や社内の決まりに合うかを評価する
- コンプライアンス監査：法令や社内規程などを守れているかを評価する
（テーマ・覚えること）
このテーマの過去問
- 令和8年度 問8システム監査におけるフォローアップの説明とし…科目A（四択）
- 令和7年度 問8情報セキュリティ違反を犯した従業員に対する懲…科目A（四択）
- 令和5年度 問1情報セキュリティ管理基準（平成28年）に関す…科目A（四択）・まずこの1問
- 令和5年度 問9情報システムのインシデント管理に対する監査で…科目A（四択）
- サンプル問題（2022年12月） 問35システムテストの監査におけるチェックポイント…科目A（四択）
- サンプル問題（2022年12月） 問36アクセス制御を監査するシステム監査人の行為の…科目A（四択）
同じ分野のテーマ（ビジネス・技術）
- サービスマネジメントの基本（SLA・サービスデスク・インシデント管理と問題管理）今の制度の過去問（6回分）では、サービスレベル目標の説明、インシデントの該当、サービス満足度の計算が3問出ています。
- 変更・構成管理と可用性・サービス継続（リリース・CI・スタンバイ）今の制度の過去問（6回分）では、待機系をもつシステムの方式を選ぶ問題が1問出ています。
- データ利活用と業務分析（スクレイピング・バイアス・QC七つ道具）今の制度の過去問（6回分）では、特性要因図の説明が2問、ビッグデータ活用のフローが1問出ています。
- 識別AIの活用（教師あり・教師なし・強化学習）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 生成AIの活用（RAG・プロンプトエンジニアリング・マルチモーダル）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AIエージェントの活用（自律性・人の関与・ガードレール）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 経営管理・役職・BCP（PDCA・CISO・BIA）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 損益分岐点と財務諸表（貸借対照表・損益計算書）今の制度の過去問（6回分）では、製造原価明細書と損益計算書から売上総利益を求める計算が1問出ています。
- コーポレートガバナンスと内部統制今の制度の過去問（6回分）では、統制活動に当たるものを選ぶ問題と、内部統制に最終的な責任を負う者を選ぶ問題が、1問ずつ出ています。
- クラウドサービスと仮想化（SaaS・IaaS・コンテナ）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- ネットワークの基本（LAN・無線LAN・IPアドレス・ルータ）今の制度の過去問（6回分）では、社内から外へのアクセスを中継するプロキシサーバを選ぶ問題が 2 問出ています。
- 通信プロトコル（HTTP・SMTP・DNS・DHCP・サブネット）今の制度の過去問（6回分）では、ネットワークアドレスの計算と、ポート番号 80 番の扱いが、1問ずつ出ています。
- ネットワークの応用と運用（メール・cookie・VPN・5G・障害切分け）今の制度の過去問（6回分）では、cookie の仕組みについての記述を選ぶ問題が、1問出ています。