情報セキュリティ監査の定義とシステム監査との見分け方

正解はエです

選択肢ごとの解説

1. ×ア  一定の基準に基づいてITシステムの利活用に係る検証・評価を行い，ガバナンスの適切性などに対する保証や改善のための助言を行うもの
   アの「ITシステムの利活用」を検証・評価し、保証や助言を行うという説明は、システム監査のものです。システム監査はITシステムが経営に役立っているかを見る活動で、情報セキュリティ監査とは範囲も目的も異なります。「検証・評価」「保証や助言」という監査らしい語句が並んでいるため、選んでしまいやすい選択肢です。
2. ×イ  コンピュータの盗難や不正な持出しを物理的に防止し，情報セキュリティを確保するためのツール
   イの盗難や不正な持出しを物理的に防ぐツールという説明は、セキュリティワイヤのような物理的対策のものです。対策の手段そのものを述べており、検証・評価という行為ではありません。そのため監査の説明にはなりません。
3. ×ウ  組織体の価値及び組織体への信頼を向上させるために，組織体におけるITシステムの利活用のあるべき姿を示すIT戦略と方針の策定及びその実現のための活動
   ウのIT戦略と方針を策定し、それを実現するための活動という説明は、ITガバナンスのものです。ITガバナンスは組織がITのあるべき姿を示して実行する活動です。実施状況を後から評価する監査とは役割が異なります。
4. ○エ  組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかの検証又は評価
   エの、情報資産に関わるリスクマネジメントが効果的に実施されているかを検証・評価するという説明は、情報セキュリティ監査の定義に合っています。対象を「情報資産」に、確認する観点を「リスクマネジメントの有効性」に絞っている点が、システム監査との違いです。