問35
頻出度★★★
システム監査の内容として, 適切なものはどれか。
平成24年度 秋期 ITパスポート試験 問35
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 35
错误ア
这是验收测试（也叫认可测试）的说明。它是由所开发系统的实际用户自己进行验证、以判断能否投入正式运行的开发工序内的测试，属于系统开发生命周期的最终测试阶段。其实施主体是用户部门而不是独立的审计人员，对象也不是「风险对策的整备与运行状况」，而是「系统是否按要求运行」，在这两点上与审计不同。
错误イ
这是生物识别认证（生物特征认证）的说明。它是利用指纹、虹膜、声纹等身体特征进行本人确认的技术，属于信息安全对策（访问控制）的一种手段。而审计是检查这类对策是否恰当的那一方的活动，本身并不是对策。也就是说，イ是「可以成为审计对象的东西」，而不是审计的内容。
- ウ
正解 正确答案是ウ。所谓系统审计，是指检查并评价组织的信息系统相关风险的控制措施（风险对策）是否得到恰当的整备、是否得到恰当的运行，并在必要时提出改进建议与劝告的活动。选项ウ正是这一定义本身，其中「以独立的立场进行验证」这一点是决定性的线索。审计的价值在于客观性，因此系统审计人员必须独立于被审计部门（负责系统的规划、开发、运行的部门），不允许由自己来审计自己做出来的东西。同时具备「风险对策是否恰当」「以独立的立场」「验证」这三个要素的只有ウ。
错误エ
这是破解入侵（非法访问）的说明。它是通过网络从外部擅自侵入系统，窃看、篡改或破坏数据与程序的犯罪行为，触犯《禁止非法访问法》。它处在审计应当防范的威胁一方，而不是审计活动。另外，它与在获得许可后实施模拟攻击以确认安全性的渗透测试也有明确区别，区别就在于它是未经许可进行的。
ここがポイント
- 系统审计 = 检查并评价信息系统相关的风险对策（控制措施）是否得到恰当的整备与运行，并提出建议与劝告的活动。关键词是「独立的立场」「验证・评价」。
- 系统审计人员的独立性：要求其在外观上和精神上都独立于被审计部门，不能由自己来审计自己参与过的业务。不要把审计与「对策本身」（如生物识别认证）或「开发工序中的测试」（如验收测试）相混淆。
用語