情報セキュリティに関するリスク管理が効果的に実施されるよう、情報セキュリティ対策やその運用状況を、専門的知識を持った第三者が客観的に評価を行い、保証あるいは助言を与えること。
2003年「情報セキュリティ監査制度（経済産業省）」の施行によって、「情報セキュリティ管理基準」「情報セキュリティ監査基準」の２つの基準が設けられ、あいまいだった基準が明確となった。