問35
頻出度★★★
システム監査の内容として, 適切なものはどれか。
平成24年度 秋期 ITパスポート試験 問35
マネジメント系システム監査 › システム監査
この問題の解説と、これまでの解答の記録です。
解説
問 35
不正解ア
これは受入れテスト (承認テスト) の説明。開発されたシステムを実際の利用者自身が検証し、本番稼働の可否を判断する開発工程上のテストであり、システム開発ライフサイクルの最終テスト段階に当たる。実施主体が利用部門であって独立した監査人ではなく、対象も「リスク対策の整備・運用状況」ではなく「システムが要求どおり動くか」である点で監査とは異なる。
不正解イ
これはバイオメトリクス認証 (生体認証) の説明。指紋・虹彩・声紋などの身体的特徴を使って本人確認を行う技術で、情報セキュリティ対策 (アクセス制御) の一手段である。監査はこうした対策が適切かどうかを点検する側の活動であり、対策そのものではない。つまりイは監査の「対象になり得るもの」であって監査の内容ではない。
- ウ
正解 正解はウ。システム監査とは、組織体の情報システムにまつわるリスクに対するコントロール (リスク対策) が適切に整備され、かつ適切に運用されているかを点検・評価し、必要に応じて改善を助言・勧告する活動である。選択肢ウはこの定義そのもので、特に「独立的な立場で検証する」という点が決定的な手掛かりになる。監査の価値は客観性にあるため、システム監査人は被監査部門 (システムの企画・開発・運用を担当する部門) から独立していなければならず、自分が作ったものを自分で監査することは認められない。「リスク対策が適切か」を「独立した立場で」「検証する」という三要素がそろっているのはウだけである。
不正解エ
これはクラッキング (不正アクセス) の説明。ネットワーク経由で外部から無断でシステムに侵入し、データやプログラムの盗み見・改ざん・破壊を行う犯罪行為であり、不正アクセス禁止法に抵触する。監査が防ぐべき脅威の側であって、監査活動ではない。なお、許可を得て疑似的に攻撃し安全性を確かめるペネトレーションテストとも、無断で行う点で明確に区別される。
ここがポイント
- システム監査 = 情報システムに関わるリスク対策 (コントロール) が適切に整備・運用されているかを点検・評価し、助言・勧告する活動。キーワードは「独立的な立場」「検証・評価」。
- システム監査人の独立性: 被監査部門から独立した外観と精神の独立性が求められ、自分が関与した業務を自ら監査することはできない。「対策そのもの」(生体認証など) や「開発工程のテスト」(受入れテスト) と混同しないこと。
用語