問6
頻出度★★★
“経営戦略に沿って効果的な情報システム戦略を立案し, その戦略に基づき, 効果的な情報システム投資のための, またリスクを低減するためのコントロールを適切に整備・運用するための実践規範” はどれか。
平成23年度 特別試験 ITパスポート試験 問6
マネジメント系システム監査 › 内部統制
这道题的解析和你的作答记录。
解説
問 6
错误ア
系统审计基准是以确保系统审计业务的质量、有效且高效地实施审计为目的的、系统审计人员的行为规范。它规定的是审计人员的独立性与客观性、审计计划的制定、审计证据的获取、审计报告的编写等“实施审计一方”应遵守的事项，而不是组织建立和运用控制的规范。题干所要求的是被审计一方的实践规范，因此本项错误。另外，系统审计基准与系统管理基准成对，审计人员以系统管理基准作为判断尺度来评价控制的建立与运用状况。
- イ
正解 正确答案是イ。系统管理基准是经济产业省制定的基准，它是指组织主动地依据经营战略制定有效的信息系统战略，并以该战略为基础，在信息系统的规划、开发、运用、维护这一完整生命周期中，为实现有效的信息系统投资、以及为降低风险而适当地建立和运用控制的实践规范。题干正是这一定义本身，可以从两条线索缩小范围。第一，句尾是“为适当地建立和运用控制的实践规范”。建立并运用控制的是规划、开发、运用信息系统的组织一方，即接受审计的一方，而不是实施审计的审计人员的行为规范。据此就能从“审计基准”缩小到“管理基准”。第二，开头是“依据经营战略制定有效的信息系统战略”，其涵盖范围从信息系统战略的制定一直延伸到信息系统投资，涉及信息系统整体。由于对象并不限于信息安全，因此应是冠以“系统”的基准，而不是冠以“信息安全”的基准。同时满足这两点的只有系统管理基准。另外在实务上，被审计一方依据系统管理基准建立和运用控制，审计人员则依据系统审计基准检查和评价其建立与运用状况，两者成对使用。
错误ウ
信息安全审计基准是为确保信息安全审计业务的质量、有效且高效地实施审计而制定的审计人员行为规范。它错误的理由有两重：首先，它是实施审计一方的规范，而不是建立和运用控制一方的规范；其次，其对象限定于信息安全，不具备题干中包含信息系统战略的制定和信息系统投资那样的广度。无论从哪一条轴来看，都不符合题干给出的定义。
错误エ
信息安全管理基准是组织为构建有效的信息安全管理体系、适当地建立和运用控制而制定的实践规范，它依据 JIS Q 27001 / JIS Q 27002（ISO/IEC 27001 / 27002）编制。就“面向建立和运用控制一方的实践规范”这一点而言，它与题干一致，但其覆盖范围限定于信息安全，即机密性、完整性、可用性的确保。题干讲的是依据经营战略制定信息系统战略、实现有效的信息系统投资这类不止于安全的、面向信息系统整体的控制，因此本项范围过窄，并不适用。
ここがポイント
- “管理基准”与“审计基准”这一对概念的区分 —— 管理基准是组织（被审计一方）建立和运用控制的实践规范；审计基准是审计人员（实施审计一方）实施审计时的行为规范。若题干说的是“为建立和运用控制的实践规范”，就判定为管理基准；若说的是“为实施审计的审计人员行为规范”，就判定为审计基准。实务中两者成对使用，审计人员以管理基准为尺度评价被审计一方。
- “系统”与“信息安全”在对象范围上的区分 —— 冠以“系统～”的基准以信息系统的规划、开发、运用、维护这一完整生命周期为对象；冠以“信息安全～”的基准则限定于机密性、完整性、可用性的确保这一信息安全领域。把这两条轴交叉起来，就能整理出系统管理基准、系统审计基准、信息安全管理基准、信息安全审计基准这四者，也就明白该看定义文中的哪些地方来缩小范围。
用語