問1
頻出度★★★
組織が経営戦略と情報システム戦略に基づいて情報システムの企画・開発・運用・保守を行うとき，そのライフサイクルの中で効果的な情報システム投資及びリスク低減のためのコントロールを適切に行うための実践規範はどれか。
平成27年度 春期 ITパスポート試験 問1
マネジメント系システム監査 › 内部統制
この問題の解説と、これまでの解答の記録です。
解説
問 1
不正解ア
コンピュータ不正アクセス対策基準は、外部からの不正アクセスによる被害の予防・発見・復旧のために、システムユーザ、システム管理者、ネットワークサービス事業者などが取るべきセキュリティ対策をまとめた基準である。対象がセキュリティ（不正アクセス対策）に限定されており、情報システム投資の有効性やライフサイクル全体のコントロールを扱う実践規範ではない。
不正解イ
システム監査基準は、システム監査人が監査を実施する際の行為規範（監査人の独立性・監査計画・監査手続・報告など、監査業務のやり方）を定めたものである。管理する側の実践規範ではなく「監査する側」の基準であり、設問の「情報システムの企画・開発・運用・保守を行うときのコントロールを適切に行うための実践規範」という記述には当てはまらない。システム管理基準と対で覚え、どちらが監査側でどちらが管理側かを取り違えないこと。
- ウ
正解 正解は「ウ システム管理基準」。システム管理基準は、経営戦略・情報システム戦略に基づいて情報システムを企画・開発・運用・保守する組織が、そのライフサイクル全体を通じて、効果的な情報システム投資を行い、かつリスクを低減するためのコントロール（統制）を適切に整備・運用するための「実践規範」として定められたものである。つまり「システムを管理する側（被監査側・実施側）が、何をどう管理すべきか」を示す行動の物差しであり、設問が挙げる「ライフサイクル」「効果的な情報システム投資」「リスク低減のためのコントロール」という三つのキーワードすべてに正面から対応する。なお、システム監査を行う際には、この基準が「あるべき統制の姿」として判断尺度に用いられる点も押さえておきたい。
不正解エ
情報システム安全対策基準は、情報システムの災害・障害・故意の妨害行為などに対して、機密性・保全性・可用性を確保するための安全対策（設備・運用・技術面の対策）を示した基準である。安全性の確保に焦点を当てたものであり、効果的な情報システム投資という観点やライフサイクル全体の統制の実践規範という位置付けではない。
ここがポイント
- システム管理基準＝管理する側（実施側）の実践規範、システム監査基準＝監査する側（システム監査人）の行為規範。この対の役割分担が最頻出の識別ポイントで、システム監査ではシステム管理基準が「あるべき統制」の判断尺度になる。
- システム管理基準のキーワードは「情報システムのライフサイクル（企画・開発・運用・保守）」「効果的な情報システム投資」「リスク低減のためのコントロール」。この三点が設問に出たらシステム管理基準を選ぶ。
用語