経済産業省“情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）”における，情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監査（保証型の監査）と情報セキュリティ対策の改善に役立つ助言を行うことを目的とする監査（助言型の監査）の実施に関する記述のうち，適切なものはどれか。
正答4
解説
正解は4です。
この問題は、情報セキュリティ監査における保証型の監査と助言型の監査の使い分けを問うています。
保証型は対策が適切であることを第三者に保証するための監査、助言型は対策の改善点を助言するための監査です。
【選択肢別解説】
1：× 保証型から始めて、保証が得られた後に助言型へ切り替えなければならない、という決まりはありません。
どちらを行うかは監査の目的によって決まり、実施の順序は定められていません。
2：× 保証型と助言型は排他的なものではなく、一つの監査で両方の目的を併せて実施することもできます。
どちらか一方に限定しなければならないという記述は誤りです。
3：× 保証型か助言型かは、監査を依頼する監査要請者のニーズ（監査の目的）に応じて決めます。
監査人が自分の責任だけで決めるものではありません。
4：○ 不特定多数の利害関係者の情報を扱う情報システムでは、対策が適切であることを社会に示す必要があります。
そのため、保証型の監査を定期的に行い、その結果を開示することが有用です。
【ポイント】
保証型は「外部への説明責任」、助言型は「内部の改善」を主な目的とします。
両者は組み合わせて実施することもできる点を押さえておきましょう。