問83
頻出度★★★
社内のISMS活動の一環として, サーバのセキュリティについて監査を行うことになった。最初に実施することとして, 適切なものはどれか。
平成26年度 秋期 ITパスポート試験 問83
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 83
- ア
正解 正确答案是ア。信息安全审计（系统审计）的基本步骤是按「制定审计计划 → 初步调查 → 正式调查 → 评价与结论 → 审计报告 → 后续跟踪」的顺序推进的，位于最前面的就是制定审计计划。审计计划书中要写明审计的目的、对象范围（本题中即查看哪些服务器、查到什么程度）、审计的重点项目、实施时期与日程、审计体制与人员、审计程序以及取证方法等。只有先有了这份计划，「查看哪些日志」「用什么工具检查到什么程度」这类具体作业的必要性和范围才能确定，因此在决定作为 ISMS 活动的一环对服务器实施安全审计的阶段，最先应做的就是编制审计计划书。
错误イ
重新审视安全设置，属于审计中被指出问题之后由被审计部门（服务器运维方）实施的纠正措施，既不是审计人员的工作，也不是最先进行的工序。而且在审计之前就改动对象，会导致无法评价原本的运行状态，从这一点看也不恰当。
错误ウ
确认审计用日志的所在位置，属于为收集审计证据而进行的初步调查、正式调查阶段的作业。如果审计计划还没有定下对象范围和重点项目，就连是否应该查看「所有服务器」都无法判断，因此它不是先于计划进行的事项。
错误エ
使用漏洞检测工具进行检查，是作为审计程序之一在正式调查阶段实施的具体作业。是否实施、针对哪些对象、在什么时期实施，都需要事先在计划书中规定（因为还会对运行中的服务器产生影响），所以它不是最先进行的作业。
ここがポイント
- 信息安全审计、系统审计的基本步骤是「制定审计计划 → 初步调查 → 正式调查 → 评价与结论 → 审计报告 → 后续跟踪」。被问到「最先做什么」时，就回答制定审计计划。
- 审计计划书中规定审计的目的、对象范围、重点项目、实施时期、体制和审计程序。查看日志、漏洞检测这类具体作业属于依据计划开展的调查阶段，重新审视设置则是被指出问题后的纠正措施，都不是审计人员的第一步。
用語