経産省、情報セキュリティ監査の準拠基準策定に向けた報告案発表

経済産業省は2003年1月29日、情報セキュリティ監査研究会がまとめた「情報セキュリティ監査制度」に関する中間報告書案を発表した。同制度の4月からの施行を目指す。

「情報セキュリティ監査制度」は、情報セキュリティ監査サービスの提供者および利用者が、どのような監査を行う／受けるべきかを明確にし、企業や政府、自治体などへの情報セキュリティマネジメントの効果的な普及を目指すもの。

今回発表された報告書案では制度の具体的な内容として、情報セキュリティ監査を実施する際に準拠べき基準を策定するとともに、監査を行う主体を登録する「情報セキュリティ監査企業台帳」の創設を提唱している。

「準拠基準」は2つの基準（管理基準、監査基準）と5つのガイドライン（個別監査項目策定、監査実施、監査報告と2つのモデル例）から構成される。監査結果は国際的に通用することを想定し、国際基準である「ISO/IEC17799」を基に策定された。

また「監査企業台帳」は、監査サービスを提供する監査法人、情報セキュリティベンダー、システムベンダー、情報セキュリティ専門企業などが任意登録を行うもので、前年度までの監査実績やなどの情報を広く公表する。

報告書案では電子政府における情報セキュリティ監査での利用も想定し、「電子政府における利用モデル」も提示している。

経産省では、今年4月からの「情報セキュリティ監査制度」施行を目指し、2月末までパブリックコメントを募集する。報告書案は下記のページで閲覧可能（PDF ファイル）。

○「情報セキュリティ監査研究会報告書　中間とりまとめ」に対する意見募集
　http://www.meti.go.jp/kohosys/press/0003614/1/030129security2.htm