応用情報 システム監査 1 — Questions and Answers
Question 1: システム監査の目的として最も適切なものはどれか。
- 情報システムのリスクに対するコントロールの有効性を独立した立場から評価する (Correct answer)
- システムのバグを見つけてデバッグする
- 新システムの要件定義を支援する
- 情報システムの利用者教育を実施する
Correct answer: 情報システムのリスクに対するコントロールの有効性を独立した立場から評価する
システム監査はITガバナンスの一環として、情報システムのコントロール（内部統制）が適切に整備・運用されているかを独立した監査人が評価し、改善勧告を行うプロセス。
Question 2: システム監査人の独立性について正しいものはどれか。
- 監査対象システムの開発・運用に直接関与していないこと (Correct answer)
- 社外の人間でなければならないこと
- 情報システム部門の管理者であること
- 最高情報責任者（CIO）の承認が必要
Correct answer: 監査対象システムの開発・運用に直接関与していないこと
システム監査人の独立性は監査対象の業務執行から切り離されていること（精神的・組織的独立性）が要件。社内監査人でも監査対象業務に直接関与していなければ独立性を保てる。
Question 3: ITガバナンスフレームワークCOBITの主な目的はどれか。
- IT経営とビジネス目標を整合させITのリスク管理とコントロールの枠組みを提供する (Correct answer)
- ソフトウェア開発プロセスを標準化する
- ネットワーク機器の設定を標準化する
- クラウドサービスの品質を評価する
Correct answer: IT経営とビジネス目標を整合させITのリスク管理とコントロールの枠組みを提供する
COBIT（Control Objectives for Information and Related Technologies）はITガバナンスの国際標準フレームワーク。ビジネス目標・ITリスク管理・コントロール目標・成熟度評価を統合的に提供する。
Question 4: システム監査で使用する「テスト件数」の決定方法として正しいものはどれか。
- リスクが高いほど多くのサンプルをテストし低リスクは少ないサンプルで済ませる (Correct answer)
- 全件をテストすることが必須
- 監査人の経験のみで決定する
- テスト件数は監査費用のみで決定する
Correct answer: リスクが高いほど多くのサンプルをテストし低リスクは少ないサンプルで済ませる
監査でのサンプリングはリスクベースで行う。高リスク・重要なコントロールは多くのサンプル、低リスクは少ないサンプルでテストする統計的サンプリングと非統計的サンプリングがある。
Question 5: システム監査における「準拠性テスト」の説明として正しいものはどれか。
- コントロールが設計通りに実際に運用されているかを確認するテスト (Correct answer)
- 財務諸表の数値が正確かを確認するテスト
- システムの性能要件を満たしているかを確認するテスト
- セキュリティパッチが適用されているかを確認するテスト
Correct answer: コントロールが設計通りに実際に運用されているかを確認するテスト
準拠性テスト（Compliance Test）はコントロールが実際に機能しているかを確認する。例えば「アクセス承認は上長が行う」というコントロールが実際に毎回行われているかをサンプル確認する。
Question 6: 情報セキュリティ監査でアクセスログを確認する主な目的はどれか。
- 不正アクセスや権限外操作の痕跡を検出し証拠として確認する (Correct answer)
- システムの処理性能を測定する
- データベースのバックアップを確認する
- ネットワーク帯域の使用状況を確認する
Correct answer: 不正アクセスや権限外操作の痕跡を検出し証拠として確認する
セキュリティ監査でアクセスログを確認することで、権限外のデータアクセス・夜間の不審なログイン・大量のデータダウンロードなどの異常を検出できる。ログは改ざんされていないことも確認する。
応用情報 システム監査 1
システム監査の目的として最も適切なものはどれか。