応用情報技術者試験 - Applied Information Technology Engineer System Auditing Questions and Answers — Questions and Answers
Question 1: 経済産業省が定める「システム監査基準」におけるシステム監査の目的として、最も適切なものはどれか。
- 情報システムの開発プロジェクトが予算内で完了するように、進捗を管理し、開発者に直接指示を与えること。
- システム障害やセキュリティインシデントが発生した際に、その原因となった担当者を特定し、責任を追及すること。
- 組織体の情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを、独立かつ専門的な立場で評価し、保証や助言を行うこと。 (Correct answer)
- 従業員の情報システム利用状況を常時監視し、規定違反の操作がないかを確認すること。
Correct answer: 組織体の情報システムにまつわるリスクに対するコントロールが適切に整備・運用されているかを、独立かつ専門的な立場で評価し、保証や助言を行うこと。
システム監査の目的は、罰則や監視ではなく、組織体のITガバナンスに寄与することです。「システム監査基準」によれば、独立した専門家であるシステム監査人が、情報システムのリスクコントロールが適切に整備・運用されているかを評価し、経営層などに保証を与えたり、改善のための助言を行ったりすることが目的とされています。
Question 2: ある企業の内部監査室に所属するA氏は、半年前まで自らがプロジェクトマネージャとして開発を主導した新しい販売管理システムのシステム監査を担当することになった。システム監査人が遵守すべき原則の観点から、この状況における最も重大な問題点はどれか。
- A氏がシステムの内部構造に詳しすぎるため、監査が非効率になること。
- システム監査人に求められる、監査対象からの独立性が確保されていないこと。 (Correct answer)
- 監査報告書の作成に時間がかかりすぎること。
- A氏が元プロジェクトマネージャであるため、被監査部門が協力的になりすぎること。
Correct answer: システム監査人に求められる、監査対象からの独立性が確保されていないこと。
システム監査人は、監査対象に対して客観的な判断を下すために、精神上および外観上の独立性を保つ必要があります。 自身が開発を主導したシステムを監査する場合、客観的な評価が困難になり、利害関係が生じる可能性があるため、「外観上の独立性」が損なわれていると判断されます。これはシステム監査の信頼性を揺るがす重大な問題です。
Question 3: システム監査は、監査計画の策定、監査の実施、監査報告とフォローアップといったプロセスを経て行われる。これらのプロセスのうち、「監査計画の策定」段階で実施すべき事項として、最も適切なものはどれか。
- 監査報告書で指摘した改善勧告が、被監査部門によって適切に実施されているかを確認する。
- 監査対象部門へのヒアリングや、関連文書、システムの操作ログなどを調査し、監査証拠を収集・評価する。
- 監査で発見された問題点や評価結果、改善勧告などをまとめた監査報告書を作成し、経営者などに報告する。
- 監査目的・対象範囲を明確にし、リスク評価に基づいて重点的に調査する項目を決定し、具体的な監査手続やスケジュールを定める。 (Correct answer)
Correct answer: 監査目的・対象範囲を明確にし、リスク評価に基づいて重点的に調査する項目を決定し、具体的な監査手続やスケジュールを定める。
監査計画の策定段階では、監査を効果的かつ効率的に実施するための準備を行います。具体的には、監査の目的と範囲を定義し、予備調査の結果やリスク評価に基づき、監査の重点項目、具体的な手続き、人員体制、スケジュールなどを定めます。 選択肢アはフォローアップ、イは監査の実施、ウは監査報告段階の活動です。
Question 4: システム監査人が監査意見の根拠とする「監査証拠」に関する記述として、最も適切なものはどれか。
- 監査証拠は、監査意見を裏付けるために十分かつ適切でなければならず、網羅的に収集する必要がある。 (Correct answer)
- 監査証拠は客観性が最も重要であるため、被監査部門の担当者からのヒアリング内容は証拠として採用できない。
- 監査の効率性を高めるため、監査証拠はサンプリングによってのみ収集し、全件調査は避けるべきである。
- システムログなどの電磁的記録は改ざんの可能性があるため、監査証拠としては認められず、紙媒体の文書のみが有効である。
Correct answer: 監査証拠は、監査意見を裏付けるために十分かつ適切でなければならず、網羅的に収集する必要がある。
監査報告書に記載される監査意見は、収集した監査証拠に基づいている必要があります。 そのため、監査証拠は、監査要点を立証するために十分な量があり、かつ、信頼できる適切なものでなければなりません。 ヒアリング結果やシステムログも、文書化や他の証拠との照合を行うことで有効な監査証拠となります。
Question 5: 情報セキュリティ監査において、組織の情報セキュリティマネジメントシステム(ISMS)が、ある基準に適合しているかを評価することがある。このとき、適合性の評価基準として最も広く用いられている日本産業規格(JIS)はどれか。
- JIS Q 9001 (品質マネジメントシステム)
- JIS Q 15001 (個人情報保護マネジメントシステム)
- JIS X 8341-3 (ウェブアクセシビリティ)
- JIS Q 27001 (情報セキュリティマネジメントシステム) (Correct answer)
Correct answer: JIS Q 27001 (情報セキュリティマネジメントシステム)
JIS Q 27001は、情報セキュリティマネジメントシステム(ISMS)の要求事項を定めた日本産業規格です。 情報セキュリティ監査では、組織が構築したISMSがこの規格に適合しているか、また、有効に機能しているかを評価するための基準として用いられます。
Question 6: システム監査の最終段階であるフォローアップ活動に関する記述として、最も適切なものはどれか。
- 監査報告書の提出をもってシステム監査は完了するため、フォローアップは任意であり、実施しなくてもよい。
- 監査報告書で指摘した改善勧告事項に対して、被監査部門が策定した改善計画の実施状況や改善効果を確認する活動である。 (Correct answer)
- 監査の結論に被監査部門が納得できない場合に、再調査を要求するための手続きである。
- 次年度の監査計画を策定するために、被監査部門の予算や人員の状況を調査する活動である。
Correct answer: 監査報告書で指摘した改善勧告事項に対して、被監査部門が策定した改善計画の実施状況や改善効果を確認する活動である。
システム監査は、監査報告書を提出して終わりではありません。監査で指摘した問題点が改善されて初めて監査の目的が達成されます。 フォローアップは、監査報告書で提示された改善勧告に基づき、被監査部門が主体的に行う改善活動の進捗状況や効果をシステム監査人が確認・支援する重要なプロセスです。
応用情報技術者試験 - Applied Information Technology Engineer System Auditing Questions and Answers
経済産業省が定める「システム監査基準」におけるシステム監査の目的として、最も適切なものはどれか。