ある事業者において，情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として，最も適切なものはどれか。
- ア情報資産を管理している情報システム
- イ情報システム以外で保有している情報資産
- ウ情報システムが保有している情報資産
- エ保有している全ての情報資産
正解と解説を見る
正解
エ 保有している全ての情報資産
情報資産のライフサイクル（取得・利用・保管・廃棄など）に従って実施する情報セキュリティ監査は，特定のシステムや一部の情報資産に限定せず，事業者が保有している全ての情報資産を対象とすべきである。したがって正解は「保有している全ての情報資産」である。情報システムを管理している部分やシステム以外・システムが保有する部分のみに限定する選択肢は，監査の対象範囲を不当に狭めており，ライフサイクル全体を通じた情報資産管理の実態を十分に検証できないため不適切である。