問37
頻出度★★★
図に示す情報システムライフサイクルのうち，システム監査の監査対象として適切な工程はどれか。ここで，各矢印は監査対象の範囲を示す。
| 企画工程 | 開発工程 | 運用工程 |
|---|
平成25年度 秋期 ITパスポート試験 問37
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 37
错误ア
ア的箭头只覆盖横条左端的规划阶段，把审计对象限定在了规划阶段。规划阶段的审计（检查需求定义、投资决策以及开发计划是否恰当）当然很重要，但即使在那里评价计划是恰当的，也不能保证实际做出来的系统的质量，以及投入运行后的访问管理和故障处理是恰当的。开发阶段和运维阶段的风险会完全漏出审计之网，因此作为对象范围是不足的。
错误イ
イ的箭头只覆盖中间的开发阶段。这是把系统审计误解为只检查开发过程中的质量管理和测试的选项。实际上，系统寿命的大部分是投入运行之后的运维期间，非法访问、数据丢失、运行步骤流于形式等重大风险都会在运维阶段变为现实。而且如果在上游的规划阶段搞错了需求，即使开发按照步骤顺利推进，做出来的也是派不上用场的系统。仅有开发阶段，作为审计对象来说太狭窄了。
错误ウ
ウ的箭头从开发阶段的起点覆盖到运维阶段的终点，但左端的规划阶段被排除在范围之外。规划阶段是进行系统化的目的、对象业务、成本效益、实现方式等最上游决策的阶段，这里的失误可能使后续阶段的全部工作白费，是影响最大的风险来源。因此规划阶段恰恰是最值得进行审计的，把它排除在外的ウ作为对象范围并不完整。它与エ的区别只在于是否包含规划阶段这一点，请不要看漏这里。
- エ
正解 正确答案是エ「规划阶段、开发阶段、运维阶段」。图中上方的横条被划分为规划阶段、开发阶段、运维阶段三段，其下方的各个箭头表示审计对象的范围。只有エ的箭头从横条的左端（规划阶段的起点）一直贯穿到右端（运维阶段的终点），表示以整个生命周期为对象。所谓系统审计，是指处于独立且专业立场的系统审计人员，检查并评价与信息系统相关的风险是否得到了恰当应对，并向相关人员提出建议和劝告的活动。这里所针对的风险并非只存在于开发过程之中。在规划阶段，存在需求定义与经营战略不一致、或在投资效益论证不充分的情况下推进计划的危险。在开发阶段，存在设计、编程、测试的质量管理以及进度管理、变更管理是否恰当的问题。在运维阶段，则要考察访问权限的管理、备份与恢复步骤、故障处理以及运行记录的保全等是否恰当。像这样，各个阶段都有各自特有的风险，而且上游阶段的判断失误会波及下游，因此如果把审计限定在部分阶段，就无法保证整体的可靠性、安全性和效率性。实际上，系统审计基准中也规定，审计对象涵盖信息系统的整个生命周期（规划、开发、运维、维护）。因此包含全部阶段的エ是恰当的。
ここがポイント
- 系统审计的对象范围：系统审计以信息系统的整个生命周期（规划、开发、运维、维护）为对象，不限定于特定的阶段。规划阶段考察需求定义和投资决策是否恰当，开发阶段考察质量管理、测试和变更管理是否恰当，运维阶段考察访问管理、备份和故障处理是否恰当——各个阶段都有各自特有的风险，因此只看其中一部分阶段，无法保证可靠性、安全性和效率性。
- 系统审计的定位：系统审计人员以独立于被审计部门的专业立场，检查并评价信息系统的风险应对状况，发现问题时提出面向改进的建议和劝告。重要的是，审计人员本身并不代为进行设计或运维，而始终作为第三方进行评价；并且在提出建议和劝告之后进行后续跟踪，也包含在其职责之内。
用語