問6
頻出度★★★
“経営戦略に沿って効果的な情報システム戦略を立案し, その戦略に基づき, 効果的な情報システム投資のための, またリスクを低減するためのコントロールを適切に整備・運用するための実践規範” はどれか。
平成23年度 特別試験 ITパスポート試験 問6
マネジメント系システム監査 › 内部統制
この問題の解説と、これまでの解答の記録です。
解説
問 6
不正解ア
システム監査基準は、システム監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とした、システム監査人の行為規範である。監査人の独立性・客観性、監査計画の立案、監査証拠の入手、監査報告書の作成といった、監査を「行う側」の守るべき事項を定めたものであって、組織体がコントロールを整備・運用するための規範ではない。設問文が求めているのは被監査側の実践規範なので誤りである。なお、システム監査基準はシステム管理基準と対をなし、監査人はシステム管理基準を判断の尺度としてコントロールの整備・運用状況を評価する。
- イ
正解 正解はイ。システム管理基準は、経済産業省が策定した基準で、組織体が主体的に経営戦略に沿って効果的な情報システム戦略を立案し、その戦略に基づいて、情報システムの企画・開発・運用・保守というライフサイクル全体の中で、効果的な情報システム投資のための、またリスクを低減するためのコントロールを適切に整備・運用するための実践規範である。設問文はこの定義そのものであり、二つの手掛かりから絞り込める。第一に、文末が「コントロールを適切に整備・運用するための実践規範」となっている点である。コントロールを整備し運用するのは情報システムを企画・開発・運用する組織体の側、すなわち監査を受ける側であり、監査を行う監査人の行為規範ではない。ここで「監査基準」ではなく「管理基準」に絞られる。第二に、冒頭が「経営戦略に沿って効果的な情報システム戦略を立案し」であり、扱う範囲が情報システム戦略の立案から情報システム投資までの情報システム全般に及んでいる点である。対象が情報セキュリティに限定されていないので、「情報セキュリティ」を冠する基準ではなく「システム」を冠する基準となる。この二つを満たすのはシステム管理基準だけである。なお実務上は、被監査側がシステム管理基準に沿ってコントロールを整備・運用し、監査人がシステム監査基準に従ってその整備・運用状況を点検・評価するという関係にあり、両者は対で用いられる。
不正解ウ
情報セキュリティ監査基準は、情報セキュリティ監査業務の品質を確保し、有効かつ効率的に監査を実施するための監査人の行為規範である。誤りである理由は二重で、まず監査を行う側の規範であってコントロールを整備・運用する側の規範ではないこと、次に対象が情報セキュリティに限定されており、設問文にある情報システム戦略の立案や情報システム投資まで含む広がりをもたないことである。どちらの軸から見ても設問の定義には合致しない。
不正解エ
情報セキュリティ管理基準は、組織体が効果的な情報セキュリティマネジメント体制を構築し、適切なコントロールを整備・運用するための実践規範であり、JIS Q 27001 / JIS Q 27002 (ISO/IEC 27001 / 27002) に基づいて作られている。コントロールを整備・運用する側に向けた実践規範という点までは設問文と一致するが、その守備範囲は情報セキュリティ、すなわち機密性・完全性・可用性の確保に限定されている。設問文は経営戦略に沿った情報システム戦略の立案や効果的な情報システム投資という、セキュリティにとどまらない情報システム全般のコントロールを述べているので、範囲が狭すぎて当てはまらない。
ここがポイント
- 「管理基準」と「監査基準」の対の区別 — 管理基準は、組織体 (被監査側) がコントロールを整備・運用するための実践規範であり、監査基準は、監査人 (監査する側) が監査を実施する際の行為規範である。設問文が「コントロールを整備・運用するための実践規範」なら管理基準、「監査を実施するための監査人の行為規範」なら監査基準と判定する。実務では監査人が管理基準を尺度として被監査側を評価するという関係で対に用いられる。
- 「システム」と「情報セキュリティ」の対象範囲の区別 — 「システム〜」と冠する基準は情報システムの企画・開発・運用・保守というライフサイクル全般を対象とし、「情報セキュリティ〜」と冠する基準は機密性・完全性・可用性の確保という情報セキュリティ領域に限定される。この二軸を掛け合わせると、システム管理基準・システム監査基準・情報セキュリティ管理基準・情報セキュリティ監査基準の四つが整理でき、定義文のどこを見れば絞り込めるかが分かる。
用語