LASSIC Media らしくメディア
情報セキュリティ監査とは？外部委託の流れと助言型・保証型を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 情報セキュリティ監査は、独立した監査人が経済産業省の管理基準などに照らして、自社の対策を検証・評価する仕組みです。
- 改善の助言を受ける助言型と、第三者としての意見を受ける保証型があり、監査を受ける目的に合わせて選びます。
- 外部に頼むときは、監査人の独立性と、目的・範囲・報告書の扱いを契約の前に確かめておくことが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
取引先からセキュリティの体制を示してほしいと言われたが、何を見せればよいか分からない。社内で点検はしているものの、身内の確認で十分なのか自信が持てない——。情報システムを預かる部門では、こうした迷いが起こりがちです。情報セキュリティ監査は、独立した立場の監査人が、組織の情報セキュリティの状況を基準に照らして検証し、評価する仕組みです。
外部の監査人に頼めば、社内の点検では得にくい客観的な評価が得られます。ただし万能ではなく、監査を受けたからといって事故が起きなくなるわけではありません。本記事では、情報セキュリティ監査の外部委託を考えている情報システムの担当者に向けて、制度の中身、助言型と保証型の違い、ISMS（情報セキュリティマネジメントシステム）認証との違い、監査の流れ、そして外部に頼むときに確認したい点を整理します。
目次
情報セキュリティ監査とは
経済産業省の情報セキュリティ監査制度は、2つの基準を組にして使います。監査人が守るべきことを定めた「情報セキュリティ監査基準」と、監査で判断の尺度に使う「情報セキュリティ管理基準」です。どちらも国際規格の改正などを受けて見直され、令和7年8月に改正版が公表されました。*1
- 監査基準は、監査人の適格性などを定める「一般基準」、監査計画と手続を定める「実施基準」、報告書の書き方を定める「報告基準」の3つでできています*2
- 管理基準は国際規格をもとに作られ、組織が情報セキュリティを構築し運用するための標準的な対策を示しています*2
- 監査は、管理基準や、それをもとに自社の実情に合わせて作る「個別管理基準」を尺度にして、基準に沿っているかという視点で行うのが原則です
- 監査人は、独立した専門的な立場から、管理策（リスクに備えるための決まりや仕組み）の整備と運用の状況を検証し、評価します
監査の対象は、組織が持つ情報だけではありません。監査基準は、サイバー空間としてのITインフラや、漏えいすればプライバシーの侵害になる情報も含めるとしています。*2 クラウドで動かしている業務システムや、顧客の個人情報を扱う仕組みも、監査の範囲に入れて考えることになります。
助言型と保証型の違い
監査の目的は2つに分かれます。基準に合っていない点を指摘して改善の助言をするものと、証拠を確かめたうえで信頼性について意見を述べるものです。従来は助言型・保証型と呼ばれてきましたが、令和7年の改正で「アドバイザリー」「アシュアランス」と表記が改められました。表記の変更に伴う意味の変更は生じていないと明記されています。*2
| 項目 | 助言型 | 保証型 |
|---|---|---|
| 目的 | 基準に合っていない点の指摘と、改善のための助言 | 証拠の検証にもとづく事実認定から、信頼性について意見を述べる |
| 報告書で示すもの | 助言 | 意見 |
| 向いている場面 | 自社の弱いところを洗い出し、直す順番を決めたいとき | 取引先や利用者に、第三者の評価として結果を示したいとき |
気をつけたいのは「保証」という言葉です。監査基準の前文は、保証が「セキュリティインシデントが発生しないことを保証する」という意味に誤解される事例があったことを、表記を改めた理由に挙げています。*2 保証型で示されるのは、管理策が機能しているかを証拠で確かめたうえでの監査人の意見です。初めて監査を受ける会社は、まず助言型で弱点を洗い出し、改善が進んでから保証型を検討する順で考えると無理がありません。
ISMS認証や脆弱性診断との違い
外部の目でセキュリティを確かめる方法は、監査のほかにもあります。よく比べられるのが、ISMS認証と脆弱性診断です。ISMS認証は、ISMS-ACが認定した認証機関の審査を受け、JIS Q 27001（ISO/IEC 27001）の認証基準に適合していると認められると取得できる仕組みです。*3
| 方法 | 何を確かめるか | 結果の形 |
|---|---|---|
| 情報セキュリティ監査 | 管理策の整備と運用の状況を、管理基準などに照らして検証・評価する | 監査報告書（助言または意見） |
| ISMS認証 | 組織の情報セキュリティの管理の仕組みが、認証基準に適合しているか | 認証の取得 |
| 脆弱性診断 | システムやWebアプリに、技術的な弱点が無いか | 見つかった弱点と対策の一覧 |
監査は、依頼する側が目的と範囲を決められる点が特徴です。監査基準も、具体的な監査の目的と対象は監査依頼者の要請に応じたものでなければならないとしています。*2 認証の取得そのものが目的ならISMS（ISO27001）認証取得の進め方を、技術的な弱点を探したいなら脆弱性診断の外注を参考にしてください。
監査の進め方
外部の監査人に頼んだ場合も、監査は監査基準に沿って進みます。依頼する側から見ると、次の4つの段階に分けられます。
- ステップ1：監査の目的と対象範囲、監査人の権限と責任を、契約書などの文書で決める*2
- ステップ2：監査人が、手続の内容・時期・範囲を盛り込んだ監査計画を立てる
- ステップ3：監査人が監査証拠を集めて評価し、その結果を監査調書に記録する
- ステップ4：監査報告書を受け取り、指摘された点の改善を進める
依頼する側の手間が大きいのはステップ3です。規程や手順書、アクセス権の一覧、操作の記録（ログ）など、監査人が証拠として求めそうなものを、どこにあるか分かる状態にしておくと進めやすくなります。監査計画は事情に応じて修正できるよう弾力的に運用するものとされているので、*2 途中で範囲を見直す必要が出たら早めに監査人と相談します。
外部に頼むときに確認しておきたい点
監査基準は、監査人に独立性・専門能力・守秘義務・品質管理などを求めています。*2 外部の監査人を選ぶときは、これを依頼する側の確認項目に置き換えると整理しやすくなります。
- 独立性：監査の対象から独立しているか。監査の目的によっては、監査を受ける側と身分上・経済上の密接な利害関係があってはならないとされます
- 目的と範囲：助言型か保証型か、どの部門とシステムを対象にするかを、契約書に書いているか
- 体制と品質管理：監査の体制と、結果の適正性を確かめる仕組みがあるか。技術的な検査をほかの専門家に任せる場合も、判断の責任を監査人が負うか
- 報告書の扱い：取引先に報告書を見せる予定があるなら、開示の方法を監査人と協議しておくこと
- 改善の進め方：指摘された点を誰が直し、次の監査でどう確かめるか
経済産業省がかつて設けていた「情報セキュリティ監査企業台帳」は、令和2年3月31日をもって廃止されています。*1 台帳に載っているかどうかでは選べないため、上の項目を見積もりの前に確かめておきます。自社のシステムを構築・運用している会社に保証型の監査を頼む場合は、特に独立性を確かめておきたいところです。
まとめ：情報セキュリティ監査で確かめておきたい3つの点
情報セキュリティ監査を外部に委託するうえで、確かめておきたい点は3つに整理できます。第一に、助言型と保証型のどちらを受けるのかを、監査を受ける目的から決めること。第二に、対象にする部門とシステム、尺度にする基準を決め、契約書などの文書に書いておくこと。第三に、監査人が対象から独立しているか、報告書をどう開示するかを、依頼する前に確かめることです。この3点を踏まえておけば、「監査は受けたが、取引先に示せる形の結果にならなかった」という事態を避けやすくなります。監査に向けた準備や指摘への対応に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
社内の内部監査部門だけで実施してもよいですか
実施できます。情報セキュリティ監査基準は、外部に依頼する監査だけでなく、組織の内部監査部門などが行う監査でも利用できるとしています。*2 取引先に第三者の評価として示したい場合は、外部の監査人に頼むかどうかを目的から考えます。
管理基準以外の基準で監査を受けることはできますか
監査は情報セキュリティ管理基準を尺度にするのが原則ですが、対処すべきリスクの対象や特徴に応じて、適切な基準を利用したり併用したりすることも検討すべきとされています。*2 クラウドや個人情報など重点を置きたい分野があれば、依頼の段階で監査人と相談します。
監査報告書を受け取ったあと監査人は関わりますか
監査基準は、監査人が監査計画の立案から監査報告書の提出、そして改善までの監査業務の全体を管理しなければならないとしています。*2 改善の状況をどこまで確かめてもらうかは、契約の範囲として最初に決めておくと行き違いを防げます。
情報セキュリティ監査への備えのご相談
情報セキュリティ監査に向けた証拠の整備から、指摘された点の改善と運用まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：経済産業省「情報セキュリティ監査制度」（https://www.meti.go.jp/policy/netsecurity/is-kansa/）。出典：情報セキュリティ監査基準・情報セキュリティ管理基準の令和7年8月の改正公表、情報セキュリティ監査企業台帳制度の令和2年3月31日の廃止についての記述を参照（2026年10月確認）
- *2 参考：経済産業省「情報セキュリティ監査基準（令和7年経済産業省告示第125号）」（https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Audit_Annex11.pdf）。出典：前文（一般基準・実施基準・報告基準の構成、内部監査での利用、管理基準と個別管理基準、対象の範囲、保証・助言からアシュアランス・アドバイザリーへの表記変更）、監査の目的、一般基準、実施基準、報告基準の記述を参照（2026年10月確認）
- *3 参考：一般社団法人情報マネジメントシステム認定センター（ISMS-AC）「ISMS制度の概要」（https://isms.jp/isms/about.html）。出典：認証基準JIS Q 27001（ISO/IEC 27001）と、認定された認証機関の審査によるISMS認証の取得についての記述を参照（2026年10月確認）
