応用情報 システム監査 2 — Questions and Answers
Question 1: ITILのサービス継続管理（ITSCM）の目的はどれか。
- 重大な障害や災害発生時にもITサービスを合意した水準で継続・回復できるよう準備する (Correct answer)
- 日常的なサービスのパフォーマンスを監視する
- 新サービスのリリース計画を管理する
- ITサービスの費用対効果を最大化する
Correct answer: 重大な障害や災害発生時にもITサービスを合意した水準で継続・回復できるよう準備する
ITSCMはBCP（事業継続計画）のIT版で、火災・地震・重大障害などの事業影響イベント発生時にITサービスを最低限の合意水準（SLA）で継続・回復するための計画・訓練・テストを行う。
Question 2: 変更管理プロセスにおいてCAB（変更諮問委員会）の役割はどれか。
- 重要な変更を評価・承認しリスクと影響度をレビューする (Correct answer)
- 変更を実際に実装する技術チーム
- 変更後の品質テストを行う
- 変更のコストのみを審査する
Correct answer: 重要な変更を評価・承認しリスクと影響度をレビューする
CAB（Change Advisory Board）は主要ステークホルダー（ビジネス代表・技術者・運用担当）で構成され、重大な変更要求のリスク・影響・ロールバック計画を審査して承認・却下を決定する。
Question 3: システム監査での「実証テスト（Substantive Test）」の説明として正しいものはどれか。
- データや処理結果の内容が正確か・完全かを直接検証するテスト (Correct answer)
- コントロールの運用状況を確認するテスト
- システムの処理速度を測定するテスト
- セキュリティパッチの有無を確認するテスト
Correct answer: データや処理結果の内容が正確か・完全かを直接検証するテスト
実証テストは財務データやシステムの出力データが正確・完全・妥当であることを直接確認する。コントロールへの信頼が低い場合や高リスク領域で重点的に行われる。
Question 4: ISAE 3402（SOC2に相当）保証報告書の目的はどれか。
- サービス組織のコントロールが適切に設計・運用されていることを独立した監査人が証明する (Correct answer)
- 財務諸表の正確性を証明する
- 製品の品質をISO規格に基づき認証する
- 個人情報の取り扱いを評価する
Correct answer: サービス組織のコントロールが適切に設計・運用されていることを独立した監査人が証明する
ISAE 3402（米国ではSSAE 18/SOC2）はクラウドサービス提供者などのサービス組織が、顧客のデータを適切に管理するコントロールを保有・運用していることを独立監査人が証明する国際標準。
Question 5: 情報システムのBIA（ビジネスインパクト分析）の目的はどれか。
- システム停止が事業に与える影響の大きさと許容停止時間を特定する (Correct answer)
- ITプロジェクトの費用便益を分析する
- セキュリティ脅威の発生確率を評価する
- システムのパフォーマンスを定量化する
Correct answer: システム停止が事業に与える影響の大きさと許容停止時間を特定する
BIA（Business Impact Analysis）はどの業務プロセス・システムが停止した場合にどの程度の損害が発生するかを評価し、MTD（最大許容停止時間）・RTO・RPOを導出する。BCPの基礎情報。
Question 6: GDPR（一般データ保護規則）にもとづくシステム監査で確認すべき項目として最も適切なものはどれか。
- 個人データの処理根拠・同意記録・データ主体の権利行使対応・侵害通知手順 (Correct answer)
- 財務データの正確性
- ネットワーク帯域の使用効率
- ソフトウェアのライセンス管理
Correct answer: 個人データの処理根拠・同意記録・データ主体の権利行使対応・侵害通知手順
GDPR監査では適法な処理根拠の確認・同意記録の保持・データ主体権利（アクセス・削除・移行）への対応プロセス・72時間以内の侵害通知手順などのコンプライアンスを確認する。
応用情報 システム監査 2
ITILのサービス継続管理（ITSCM）の目的はどれか。