応用情報 システム監査 3 — Questions and Answers
Question 1: SOX法（米国サーベンス・オクスリー法）第404条に関連するIT監査で確認する主な事項はどれか。
- 財務報告に関わるITコントロール（ITGC・ITAC）の設計・運用の有効性 (Correct answer)
- 従業員の個人情報管理
- ネットワークセキュリティの技術仕様
- クラウド移行計画の妥当性
Correct answer: 財務報告に関わるITコントロール（ITGC・ITAC）の設計・運用の有効性
SOX404はCEO・CFOが財務報告に関わる内部統制の有効性を評価・報告する義務。IT監査ではITGC（変更管理・アクセス管理・ITオペレーション）とITAC（アプリコントロール）を評価する。
Question 2: システム監査で「証拠の十分性・適切性」を判断する基準として正しいものはどれか。
- 監査意見を支えるのに十分な量があり、関連性・信頼性が高いこと (Correct answer)
- 全件検査を実施したこと
- 監査期間が長いこと
- 監査チームの人数が多いこと
Correct answer: 監査意見を支えるのに十分な量があり、関連性・信頼性が高いこと
監査証拠の十分性は監査意見を形成するのに必要な量（リスクレベルに応じたサンプル数）、適切性は証拠の関連性（目的との関連）と信頼性（情報源の信頼度）で判断する。
Question 3: インターネットバンキングシステムの監査で確認すべき多要素認証に関する事項はどれか。
- 認証要素が設計通りに実装され全ユーザへの強制適用と監視が機能しているか (Correct answer)
- 画面デザインが使いやすいか
- 処理速度の応答時間
- システムのソースコード
Correct answer: 認証要素が設計通りに実装され全ユーザへの強制適用と監視が機能しているか
インターネットバンキング監査でのMFA確認事項は①全顧客への適用強制②認証記録の保持③認証失敗時のロックアウト④バイパスルートの不存在⑤定期的なMFA設定の見直し。
Question 4: システム監査報告書に含める「改善勧告」の書き方として適切なものはどれか。
- 発見した問題の根本原因を特定し具体的で実行可能な改善策を提示する (Correct answer)
- 問題点のみを列挙し解決策は被監査部門に委ねる
- 改善に必要な費用を最優先に記載する
- 法令違反の場合のみ改善勧告を記載する
Correct answer: 発見した問題の根本原因を特定し具体的で実行可能な改善策を提示する
効果的な監査改善勧告は観察事実→根本原因→リスク影響→推奨する改善策の構成で記載する。SMART（具体的・測定可能・達成可能・関連性・期限付き）な勧告が被監査部門に受け入れられやすい。
Question 5: クラウドサービスのシステム監査でIaaS提供者の責任と利用者の責任を分ける観点はどれか。
- 責任共有モデルに基づきプロバイダが担うコントロールと利用者が担うコントロールを区分する (Correct answer)
- 全てのコントロールはクラウドプロバイダが担当する
- 全てのコントロールは利用者が担当する
- 契約書の条文のみで責任を判断する
Correct answer: 責任共有モデルに基づきプロバイダが担うコントロールと利用者が担うコントロールを区分する
クラウド監査は責任共有モデル（SaaS/PaaS/IaaS別に異なる）に基づき、プロバイダ担当コントロール（物理セキュリティ・インフラなど）と利用者担当コントロール（OS・アプリ・データなど）に分けて評価する。
Question 6: システム開発プロジェクトの完了時に実施するポストインプリメンテーションレビュー（PIR）の目的はどれか。
- システムが当初の目標・期待効果・要件を達成しているかを評価しレッスンズラーンドを記録する (Correct answer)
- 次のプロジェクトの要件定義を開始する
- システムの廃棄計画を策定する
- ベンダーへの最終支払いを確認する
Correct answer: システムが当初の目標・期待効果・要件を達成しているかを評価しレッスンズラーンドを記録する
PIRはシステム稼働から一定期間後に当初のビジネスケース・KPI・ユーザ満足度を確認し、目標達成度を評価する。プロジェクトの教訓を記録して将来のプロジェクト改善に活用する。
応用情報 システム監査 3
SOX法（米国サーベンス・オクスリー法）第404条に関連するIT監査で確認する主な事項はどれか。