[情報セキュリティマネジメント試験]システム監査[無料講座・例題付き！]

• 1. システム監査
  • 1.1. 情報セキュリティ監査
  • 1.2. 内部統制
  • 1.3. IT統制
  • 1.4. ITガバナンス
• 2. システム監査・例題
  • 2.1. 問題
  • 2.2. 解説(クリックで展開)
• 3. システム監査・まとめ

解説(クリックで展開)

問1

正解：ア

監査調書は、監査手続の実施内容や発見した問題点、収集した情報およびそれらの分析結果、監査人の結論などをまとめた文書です。

監査調書では、監査報告書に記載される監査結果・監査意見・改善勧告などの根拠となります。

システム監査基準については、「システム監査人は、実施した監査手続の結果とその関連資料を、監査調書として作成しなければならない。監査調書は、監査結果の裏付けとなるため、監査の結論に至った過程がわかるように秩序整然と記録し、適切な方法によって保存しなければならない」と定められています。

ア　監査人が行った監査手続の実施記録であり，監査意見の根拠となる。

→監査調書は監査意見の根拠となります。したがって正解です。

イ　監査人が監査実施に当たり被監査部門に対して提出する，監査人自身のセキュリティ誓約書をまとめたものである。

→監査調書は監査人自身のセキュリティ誓約書をまとめたものではありません。したがって誤りです。

ウ　監査人が監査の実施に利用した基準書，ガイドラインをまとめたものである。

→監査調書は監査人の結論をまとめたものであり、ガイドラインではありません。したがって誤りです。

エ　監査人が正当な注意義務を払ったことを証明するために，監査報告書とともに公表するよう義務付けられたものである。

→監査調書は公表する義務はありません。したがって誤りです。

これより、アが正解です。

問2

正解：ア

ア　ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。

→「セキュリティ機能の試験は，開発期間中に実施しなければならない。」としているため、指摘事項に該当します。したがって正解です。

イ　ソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。

→「組織は，全てのシステム開発ライフサイクルを含む，システムの開発及び統合の取組みのためのセキュリティに配慮した開発環境を確立し，適切に保護しなければならない。」としているため、問題ありません。したがって誤りです。

ウ　ソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。

→「組織は，外部委託したシステム開発活動を監督し，監視しなければならない。」としているため、問題ありません。したがって誤りです。

エ　パッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。

→「パッケージソフトウェアの変更は，抑止しなければならず，必要な変更だけに限らなければならない。」としているため、問題ありません。したがって誤りです。

これより、アが正解です。

問3

正解：エ

情報セキュリティ監査は、監査対象が情報セキュリティ対策に係る一定の条件を満たしているかどうか、または情報セキュリティ対策が適切に実施されているかを客観的な立場のシステム監査人が検証又は評価することです。

設問でもあるように、情報セキュリティ監査の目的には「保証型」と「助言型」の2種類があります。

• 保証型の監査・・・監査対象の情報セキュリティマネジメント体制又は管理策が、監査実施の時点で適切であったことを監査意見として表明する形態の監査
• 助言型の監査・・・今後の改善を目的として、監査対象の情報セキュリティマネジメント体制又は管理策の欠陥や懸念事項等の問題点を検出し、必要に応じて監査意見として改善提言を表明する形態の監査

ア　同じ監査対象に対して情報セキュリティ監査を実施する場合，保証型の監査から手がけ，保証が得られた後に助言型の監査に切り替えなければならない。

→助言型の監査から手掛け、被監査側の情報セキュリティ対策が一定水準に達した段階で保証型の監査に切り替える流れが適切です。したがって誤りです。

イ　情報セキュリティ監査において，保証型の監査と助言型の監査は排他的であり，監査人はどちらで監査を実施するかを決定しなければならない。

→2つの目的は排他的なものではないため、保証と助言の2つを監査の目的とすることができます。したがって誤りです。

ウ　情報セキュリティ監査を保証型で実施するか助言型で実施するかは，監査要請者のニーズによって決定するのではなく，監査人の責任において決定する。

→情報セキュリティ監査の目的は、基本的には監査依頼者又は被監査側のニーズによって決定されます。監査人は、事前にどちらを目的とするかについて監査依頼者又は被監査側と調整しておく必要があります。したがって誤りです。

エ　不特定多数の利害関係者の情報を取り扱う情報システムに対しては，保証型の監査を定期的に実施し，その結果を開示することが有用である。

→不特定多数の利害関係者が関与する事業やシステムで、公共性の高い場合や高い機密性が求められる場合については、保証型の監査を定期的に行うことで利害関係者の信頼を得ることが推奨されます。したがって正解です。

これより、エが正解です。