情報セキュリティ監査とは、組織が情報資産を守るための対策を適切にとれているかを、第三者の目線で検証・評価することです。
自社のセキュリティ対策が本当に機能しているかは、内部にいる人間だけでは気づきにくいものです。監査を受ければ、弱点を早い段階で見つけて改善につなげられ、取引先に対して対策状況を示す材料にもなります。この記事では、情報セキュリティ監査の必要性、監査の種類、よりどころとなる基準、実施の手順、そして自社で始めるための第一歩までをご紹介します。
情報セキュリティ監査とは、企業や組織が保有する情報資産を守るために、適切なセキュリティ対策が実施され、正しく機能しているかを第三者の立場から検証・評価する活動です。ここでいう情報資産とは、顧客データや技術情報といったデジタルデータだけでなく、紙の書類や業務で使うパソコン、USBメモリなどの機器も含みます。
日本では、経済産業省が「情報セキュリティ監査基準」と「情報セキュリティ管理基準」を定め、これに基づく情報セキュリティ監査制度を運用しています。両基準は、国際規格ISO/IEC 27001・27002の改正などを受けて見直され、令和7年（2025年）8月に改正版が公表されました。
なぜ第三者の目が必要なのでしょうか。
自社の対策を自分たちだけで点検すると、「できているつもり」の思い込みや、慣れによる見落としが生じやすくなります。独立した立場の監査人が一定の基準に照らして確認することで、社内では気づけない不備を客観的に洗い出せます。
情報セキュリティ監査は、ここで終わりではなく、見つかった問題を改善し、次の監査でまた確認するという継続的な取り組みの一部です。一度受けて終わりにするものではない点を押さえておくと、後の手順の説明が理解しやすくなります。
情報セキュリティ監査は「情報システム」だけを見るのではなく、「情報資産」全体を対象とし、そこに対するリスク管理が有効に行われているかを評価します（※1）。
具体的には、組織の情報資産についてリスクアセスメントが行われているか、その結果に基づいて適切な対策（コントロール）が講じられているかを確認します。さらに、対策を一度整備して終わりにせず、PDCAサイクルによる改善のプロセスが回っているかという視点も重要です。
評価の軸になるのが、情報セキュリティの3要素と呼ばれる機密性・完全性・可用性です。機密性は、権限のある人だけが情報にアクセスできる状態を指します。完全性は、情報が改ざんや欠落なく正確であること、可用性は、必要なときに情報へアクセスして処理を続けられることを意味します。監査では、この3つがバランスよく保たれているかを、ルールの整備状況と運用の実態の両面から確認します。
なお、規格上は3要素に加えて、真正性・責任追跡性・否認防止・信頼性といった特性を含めて考えることもあります。
情報セキュリティ監査とよく混同されるものに、システム監査とISMS認証審査があります。名前が似ていて対象も重なるため、担当者が最初につまずきやすいところです。3者の違いを次の表にまとめます。
| 区分 | 主な対象 | 目的 | 実施する主体 |
|---|---|---|---|
| 情報セキュリティ監査 | 情報資産全体 | セキュリティ対策が適切かを検証・評価する | 内部の監査人または外部の監査人 |
| システム監査 | ITシステムの利活用 | ITシステムに関わるガバナンス・マネジメント・コントロールの適切性を検証・評価し、保証または助言を行う | 専門性と客観性を備えたシステム監査人 |
| ISMS認証審査 | 情報セキュリティ管理の仕組み（ISMS） | ISO/IEC 27001の要求事項に適合しているかを審査し認証する | ISMS認証機関（第三者機関） |
情報セキュリティ監査は情報資産全体を幅広く扱うのに対し、システム監査はシステムそのものに焦点を当てます。ISMS認証審査は、国際規格ISO/IEC 27001の基準を満たしているかをISMS認証機関が判定するもので、認証の取得・更新が目的になる点が異なります。
目的が違えば選ぶべき手段も変わるため、自社が何をしたいのかを先に決めておくことが大切です。
また、ISMS認証審査は認証の可否を判定する制度であり、審査員が改善方法を助言することは原則としてありません。改善に向けた具体的な助言まで求める場合は、情報セキュリティ監査のアドバイザリー型監査を選ぶことになります。
情報セキュリティ監査が求められる背景には、サイバー攻撃の増加と、それに伴う事業への影響の大きさがあります。個人情報や機密情報が漏えいすれば、企業は信頼を失い、損害賠償や事業機会の損失につながることもあります。対策が実際に機能しているかを確認する手段として、監査の重要性が高まっています。
情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」で、この2つは4年連続で同じ順位に選ばれました（※2）。ランサムウェアとは、データを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正プログラムのことです。
とくに注意したいのがサプライチェーン攻撃です。これは、セキュリティ対策が比較的手薄な取引先や子会社を踏み台にして、本来の標的である企業へ侵入する手口を指します（※2）。攻撃者は対策の甘い組織を入口として狙うため、「自社は小規模だから狙われない」という考え方は通用しません。取引網のどこか一箇所が弱ければ、そこから被害が広がります。
こうした状況では、自社の対策が十分かを確認するだけでなく、取引先に対して自社の対策状況を説明できることも求められます。監査は、その裏づけを得る手段になります。
情報セキュリティ監査を受けると、まず自社のセキュリティ対策が正しく行われているかを確認でき、不十分な点を見つけて早い段階で対処できます。攻撃を受ける前に弱点をふさげれば、被害を小さく抑えられます。
もうひとつの効果が、対外的な信頼につながることです。監査を通じて対策状況を客観的に示せると、取引先や顧客に対して「適切に情報を管理している企業」であることを伝えられます。これは取引の継続や新規開拓の場面で有効に働きます。
さらに、アドバイザリー型の監査では、どこをどう改善すればよいかについて具体的な提言を受けられます。社内に専門知識を持つ人材が少ない場合でも、次に取るべき対策の方向性を得られます。
情報セキュリティ監査は、大きく2つの軸で種類を捉えると理解しやすくなります。ひとつは監査の目的による分け方で、アシュアランス型監査とアドバイザリー型監査があります。もうひとつは監査を実施する主体による分け方で、内部監査と外部監査があります。自社の目的に合った組み合わせを選ぶことが、監査を役立てる前提になります。
アシュアランス型監査（旧称：保証型監査）は、監査の対象範囲において、組織の情報セキュリティマネジメントが適切である旨を伝える形態です。ただし、ここでの「保証」は、インシデントが絶対に起きないという保証ではなく、あらかじめ定めた判断の尺度に基づいて監査手続きを実施した範囲に限った保証を意味します（※3）。
アドバイザリー型監査（旧称：助言型監査）は、監査の結果として問題点を検出し、必要に応じて改善のための提言を行う形態です（※3）。日本で現在行われている監査はこの方式が中心です。両者の違いを次の表にまとめます。
| 種類 | 得られるもの | 向いているケース |
|---|---|---|
| アシュアランス型監査 | 対策が適切である旨の表明 | セキュリティ体制について一定の裏づけを得たい |
| アドバイザリー型監査 | 問題点の指摘と改善の提言 | 対策に不安があり、具体的な改善点を知りたい |
自社が「現状の裏づけ」を求めているのか、「改善の方向性」を求めているのかで、選ぶ方式が変わります。
内部監査は、組織内の監査人が自社の対策を確認するものです。自社の業務や仕組みを深く理解しているため、実態に即した点検ができます。
一方で、監査を行う人が組織の一員であることに変わりはないため、監査対象となる部門から独立した立場を確保できているかが問われます。監査部門を業務部門から切り離す、監査人が自ら整備に関わった仕組みは担当から外すといった配慮が必要です。
外部監査は、独立した立場の外部の専門家が実施します。社内では気づきにくい盲点を指摘してもらえることが利点です。取引先や顧客に対して示す材料としても、外部の目が入っている点は説得力を持ちます。
なお、内部監査と外部監査は、どちらか一方だけを選ぶものではありません。日常的な点検は内部監査で行い、定期的に外部監査を組み合わせるという運用も一般的です。
情報セキュリティ監査は、監査人の思いつきで進めるものではなく、共通の判断基準に沿って実施されます。日本では経済産業省が「情報セキュリティ監査基準」と「情報セキュリティ管理基準」の2つを定めており、監査はこれらに基づいて行われます。この2つは役割が異なるため、混同しないように押さえておきます。
なお、両基準は令和7年8月に改正され、監査基準は令和7年経済産業省告示第125号、管理基準は同第124号として公表されています（※5）。
情報セキュリティ監査基準は、監査を行う主体の行為規範を定めたものです。監査人の適格性や監査業務上の遵守事項を定める「一般基準」、監査計画の立案から手続きの適用までを扱う「実施基準」、報告書の記載方式などを定める「報告基準」の三部構成になっています（※4）。監査法人からシステム構築ベンダー、システム監査企業まで、多様な主体が共通に使える基準として整えられています。
なお、実施基準と報告基準については、それぞれ運用上の留意事項をまとめた「実施基準ガイドライン」「報告基準ガイドライン」が別途用意されており、これらも令和7年改正版が公表されています。
情報セキュリティ管理基準は、監査人が監査上の判断の尺度として用いる基準です。組織のマネジメント体制の構築から具体的な管理策までを扱う包括的な内容になっています（※5）。
構成は、JIS Q 27001に基づく「マネジメント基準」と、JIS Q 27002に基づく「管理策基準」の2つに分かれます。管理策基準はさらに、管理策と、具体的なセキュリティ対策を判断するための詳細管理策で構成されています（※1）。
ここで重要なのが、この2つの基準が2025年（令和7年）8月に改正された点です。改正後の管理基準は、情報セキュリティマネジメントの最新の国際規格であるJIS Q 27001:2023およびJIS Q 27002:2024に準拠しています（※5）。以前の版を前提にした情報も残っているため、監査に向けて基準を確認する際は、令和7年改正版が現在の有効な基準である点に注意してください。
情報セキュリティ監査は、計画の立案、手続きの実施、監査報告書の作成と保存、結果のフォローアップという流れで進みます。行き当たりばったりではなく段階を踏むことで、抜け漏れなく評価でき、指摘した問題を確実に改善へつなげられます。各段階の内容を次の表にまとめます。
| 段階 | 主な内容 |
|---|---|
| 計画の立案 | 監査の目的と範囲の設定、対象システムの特定、期間と日程の決定 |
| 手続きの実施 | 関係者へのインタビュー、現場や設定・運用ログの確認、脆弱性の検証 |
| 監査調書の作成と保存 | 実施した監査手続の結果と関連資料の記録、結論に至った過程の保存 |
| 監査報告書の作成と保存 | 指摘事項とリスク評価のとりまとめ、改善の提言、上層部への報告 |
| 結果のフォローアップ | 是正計画の確認、改善状況の継続的なモニタリング |
監査計画では、対象範囲・目的・管理体制・期間を定めた基本計画に加えて、実施時期や実施場所、担当者の割当て、具体的な監査手法までをあらかじめ決めます。
はじめに監査の方針と対象範囲を決め、機密性の保持といった目標を設定します。次に実際の検証を行い、その結果を報告書にまとめます。監査は問題を指摘して終わりではなく、指摘した点が改善されたかを追いかけるフォローアップまで含めて一連の流れとなります。
監査の手続きのなかには、システムのセキュリティホールの発見や脆弱性の分析といった技術的な検証が含まれます。このとき見落とされやすいのが、外部に公開しているWebアプリケーションの脆弱性です。会員サイトや問い合わせフォーム、予約システムなど、インターネットからアクセスできる入口は、攻撃者にとって狙いやすい対象になります。
Webアプリケーションの脆弱性は、ネットワーク機器の設定確認やチェックリストの点検だけでは見つけきれない場合があります。実際に攻撃者と同じ視点で動作を試し、どこから侵入できるかを確かめる検査が必要です。
こうした検査には、ツールによる自動スキャンと、専門家が手動で行う脆弱性診断やペネトレーションテストがあります。ペネトレーションテストとは、実際に侵入を試みて防御が破られないかを確認する手法です。ツールによる自動診断は網羅的に一次チェックを行える一方、判断を機械に委ねる範囲が広く、複雑なロジックの欠陥や誤検知の見極めには限界があります。ビジネスへの影響が大きいシステムほど、経験を持つ技術者による手動での検査を組み合わせて、指摘の精度を確かめることが求められます。
情報セキュリティ監査とは、情報資産を守る対策が適切かを第三者の目で検証・評価する取り組みです。ここまで見てきたとおり、監査の必要性は、ランサムウェアやサプライチェーン攻撃といった脅威が企業規模を問わず広がっている状況にあります。監査を受ければ、自社の弱点を早い段階で見つけて改善でき、取引先に対策状況を示す材料にもなります。
監査には、現状の裏づけを得る保証型監査と、改善の提言を受けられる助言型監査があり、実施主体でも内部監査と外部監査に分かれます。よりどころとなるのは経済産業省の情報セキュリティ監査基準と情報セキュリティ管理基準で、2025年（令和7年）8月の改正により最新の国際規格に準拠しました。監査は計画、実施、報告、フォローアップの順に進み、一度で終わるものではありません。
始めるうえでまず有効なのが、監査に何を求めるのかという目的をはっきりさせることです。目的が定まれば、選ぶべき監査の種類や、あわせて取得を検討する認証制度も見えてきます。日常的な点検は内部監査で行い、定期的に外部の専門家による監査を組み合わせる形が現実的です。とくに外部に公開しているWebアプリケーションの技術的な検証は専門性が高いため、手動での脆弱性診断やペネトレーションテストを提供する事業者に相談すると、自社だけでは確認しきれない領域を補えます。まずは自社の目的の明確化から着手してください。
参考
※1 JASA│情報セキュリティ管理基準
※2 IPA│情報セキュリティ10大脅威 2026
※3 JASA│ニーズに応じた監査方式
※4 JASA│情報セキュリティ監査基準
※5 経済産業省│情報セキュリティ監査制度