セキュリティ監査
組織の管理策や活動が、定めた方針・手順・基準に合っているかを、独立した立場から、記録と活動を調べて評価することです（英語では security audit。情報セキュリティ監査とも呼ぶ）。CISSP では
CISSPドメイン6 セキュリティの評価と試験で、内部・外部・第三者による監査として扱います。
定義
NIST の用語集は、監査（audit）の定義として、CNSSI 4009（米国の国家安全保障システム委員会の用語集）と SP 800-12 Rev. 1 にある「システムの管理策が十分かを評価し、定めた方針と運用の手順に従っていることを確かめるための、記録と活動の独立した確認と調査」を挙げています。
同じ用語集は、CNSSI 4009-2022 が ISO 30401:2018（ナレッジマネジメントシステムの規格）から引いた定義として、「監査の基準がどの程度満たされているかを決めるために、監査の証拠を得て客観的に評価する、体系的で、独立し、文書化された過程」も挙げています。その注記は、監査には内部の監査（第一者）と外部の監査（第二者または第三者）があり、内部の監査は組織自身か、組織に代わって外部の者が行うとしています。
内部・外部・第三者
ISC2 の試験アウトライン（2024年4月15日発効）は、監査を次のように分けています。
| 区分 |
アウトラインの例示 |
| 内部 |
組織の管理の内側（within organization control） |
| 外部 |
組織の管理の外側（outside organization control） |
| 第三者 |
企業の管理の外側（outside of enterprise control） |
組織（organization）と企業（enterprise）の違いは、アウトラインには説明がありません。
あわせて、監査の場所（オンプレミス、クラウド、その組み合わせ）も項目にしています。
評価・試験との違い
- 評価（assessment）：NIST SP 800-115 は、セキュリティの評価を、評価の対象（ホスト、システム、ネットワーク、手順、人など）が、特定のセキュリティの目標をどれだけ効果的に満たしているかを決める過程としています。方法は、試験（testing）、調査（examination）、聞き取り（interviewing）の3つです
- 管理策の評価：NIST SP 800-53 Rev. 5（セキュリティとプライバシーの管理策の一覧。どれを求めるかは組織がシステムの重要度に応じて選ぶ）の管理策 CA-2 は、管理策が正しく実装され、意図どおりに動き、望む結果を出しているかを評価するよう求めています。規制当局などの外部の者による監査は、CA-2 の範囲の外だとしています（CA-2 の解説）
- 監査：上の定義のとおり、独立性と、基準に照らした評価が中心です（筆者の整理）
独立性
SP 800-53 の CA-2(1)（独立した評価者。「(1)」は管理策 CA-2 の1番目の拡張を表す）は、評価者が、評価するシステムの開発・運用・維持・管理や、管理策の有効性の判断について、利害の衝突が無いことを求めています。自分の仕事を評価しない、評価する組織の管理者や従業員として働かない、などを挙げています。組織が小さく、システムの持ち主の系列の中の人が評価するしかない場合は、独立した専門家のチームが結果を丁寧に確認・分析することで、独立性を得られるとしています。
進め方
SP 800-53 の CA-2（管理策の評価）は、次の流れを挙げています（要約）。監査そのものの手順ではありませんが、評価の基本の流れとして参考になります（筆者の整理）。
- 評価の種類に合った評価者やチームを選ぶ
- 評価の計画を作る（対象の管理策、使う手順、環境・チーム・役割）
- 計画を、システムの運用を認める責任者などが事前に確認して承認する
- 決めた頻度で評価する
- 結果を報告書にまとめる
- 結果を、決めた担当に渡す
違い・誤解しやすい点
- 「監査に通れば安全」：監査は、決めた基準に合っているかを評価するものです。基準そのものが今の脅威に合っているかは、別に見直す必要があります（筆者の整理）
- 「内部の監査は自分たちで点検すること」：ISO 30401 から引いた定義の注記のとおり、内部の監査は、組織に代わって外部の者が行うこともあります
日本で働くなら
2026年10月時点の内容に基づきます。
| 考え方 |
日本で対応するもの |
| 取扱状況の点検と監査 |
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」：組織的安全管理措置として、個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない（(5) 取扱状況の把握及び安全管理措置の見直し）。手法の例に、「個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する」「外部の主体による監査活動と合わせて、監査を実施する」がある |
| 監査を依頼する先を探す |
IPA（情報処理推進機構）は、経済産業省の「情報セキュリティサービス基準」に適合すると審査登録機関に認められたサービスを、「情報セキュリティサービス基準適合サービスリスト」として、情報セキュリティ監査サービスなどの区分で公開している。IPA は、掲載は IPA がその事業者やサービスについて何かを請け合うものではないとしている |
個人情報保護委員会のガイドラインは、手法はリスクに応じて必要かつ適切な内容とすべきもので、例示の全てを講じなければならないわけではないとしています。
関連するページ
出典
確認日：2026年10月18日
最終更新：2026年10月18日 18:18
