6.4関連法規とガイドライン

システム監査は「監査人の主観」で良し悪しを決めるものではなく、明文化された法令・基準・ガイドラインという客観的な物差しに照らして、コントロールが十分かを評価します。システム監査人には、対象の情報システムやリスクに応じて、どの法令（個人情報保護法・不正アクセス禁止法など）・どの基準（システム監査基準・システム管理基準・情報セキュリティ管理基準）を評価の拠りどころとするかを選び、その規範に照らして不備を診断する判断が求められます。監査基準は「監査のやり方」を、管理基準や管理基準系のガイドラインは「被監査側が備えるべき統制の目安」を示すという役割の違いも押さえます。

6.4.1関連法規：個人情報保護法・不正アクセス禁止法

• 個人情報保護法＝個人情報を取り扱う事業者に、利用目的の特定・安全管理措置・第三者提供の制限・本人の権利対応などの義務を課す法律。個人データを扱うシステムの監査では、この法が求める安全管理措置（アクセス制御・暗号化・委託先監督・漏えい時対応）が整備・運用されているかが評価の物差しになる。監査人はこの法令要件に照らして不備を指摘する。
• 不正アクセス禁止法＝他人の識別符号（ID/パスワード）を無断で用いる行為や、セキュリティホールを突いて制限を免れアクセスする行為などを禁止・処罰する法律。監査では、こうした不正アクセスを防止・検知するコントロール（認証・アクセス制御・ログ監視）の整備状況を評価する拠りどころになる。法が禁じる行為を技術的・運用的に抑止できているかを診断する。

6.4.2システム監査基準・管理基準・情報セキュリティ管理基準