正答4
解説
正解は4です。
情報資産のライフサイクルに従って行う情報セキュリティ監査の対象範囲を問う問題です。
情報セキュリティ監査では、情報システムに保存されているかどうかにかかわらず、組織が保有するすべての情報資産を対象とします。
【選択肢別解説】
1：× 情報資産を管理している情報システムだけでは範囲が狭すぎます。
システムの外にある紙の書類なども監査の対象です。
2：× 情報システム以外で保有している情報資産だけでは、システム内の情報資産が含まれず、範囲が不足します。
3：× 情報システムが保有している情報資産だけでは、紙の書類や人の知識などシステム外の情報資産が含まれません。
4：○ 保有しているすべての情報資産を対象とするのが適切です。
情報資産は作成から保管、利用、廃棄までのライフサイクルを通じて保護する必要があるためです。
【ポイント】
情報セキュリティ監査はシステム監査とは異なり、紙の文書や記録媒体なども含めた情報資産全体を扱います。
「全て」を対象とする選択肢が正解になる典型的な問題です。