応用情報システム監査 3

Question 1

SOX法（米国サーベンス・オクスリー法）第404条に関連するIT監査で確認する主な事項はどれか。

Accepted Answer

財務報告に関わるITコントロール（ITGC・ITAC）の設計・運用の有効性

Answer

SOX404はCEO・CFOが財務報告に関わる内部統制の有効性を評価・報告する義務。IT監査ではITGC（変更管理・アクセス管理・ITオペレーション）とITAC（アプリコントロール）を評価する。

Question 2

システム監査で「証拠の十分性・適切性」を判断する基準として正しいものはどれか。

Accepted Answer

監査意見を支えるのに十分な量があり、関連性・信頼性が高いこと

Answer

監査証拠の十分性は監査意見を形成するのに必要な量（リスクレベルに応じたサンプル数）、適切性は証拠の関連性（目的との関連）と信頼性（情報源の信頼度）で判断する。

Question 3

インターネットバンキングシステムの監査で確認すべき多要素認証に関する事項はどれか。

Accepted Answer

認証要素が設計通りに実装され全ユーザへの強制適用と監視が機能しているか

Answer

インターネットバンキング監査でのMFA確認事項は①全顧客への適用強制②認証記録の保持③認証失敗時のロックアウト④バイパスルートの不存在⑤定期的なMFA設定の見直し。

Question 4

システム監査報告書に含める「改善勧告」の書き方として適切なものはどれか。

Accepted Answer

発見した問題の根本原因を特定し具体的で実行可能な改善策を提示する

Answer

効果的な監査改善勧告は観察事実→根本原因→リスク影響→推奨する改善策の構成で記載する。SMART（具体的・測定可能・達成可能・関連性・期限付き）な勧告が被監査部門に受け入れられやすい。

Question 5

クラウドサービスのシステム監査でIaaS提供者の責任と利用者の責任を分ける観点はどれか。

Accepted Answer

責任共有モデルに基づきプロバイダが担うコントロールと利用者が担うコントロールを区分する

Answer

クラウド監査は責任共有モデル（SaaS/PaaS/IaaS別に異なる）に基づき、プロバイダ担当コントロール（物理セキュリティ・インフラなど）と利用者担当コントロール（OS・アプリ・データなど）に分けて評価する。

応用情報技術者練習テスト