問1
頻出度★★★
組織が経営戦略と情報システム戦略に基づいて情報システムの企画・開発・運用・保守を行うとき，そのライフサイクルの中で効果的な情報システム投資及びリスク低減のためのコントロールを適切に行うための実践規範はどれか。
平成27年度 春期 ITパスポート試験 問1
マネジメント系システム監査 › 内部統制
这道题的解析和你的作答记录。
解説
問 1
错误ア
计算机非法访问应对基准是为预防、发现和恢复外部非法访问所造成的损害，而汇总了系统用户、系统管理员、网络服务提供商等应采取的安全措施的基准。其对象仅限于安全（非法访问对策），并不是处理信息系统投资有效性或整个生命周期控制的实践规范。
错误イ
系统审计基准规定的是系统审计人员实施审计时的行为规范（审计人员的独立性、审计计划、审计程序、报告等审计业务的做法）。它是「审计一方」的基准，而不是管理一方的实践规范，因此不符合题干所说的「对信息系统进行规划、开发、运行与维护时为妥善实施控制的实践规范」。请与系统管理基准成对记忆，不要弄错哪一个是审计方、哪一个是管理方。
- ウ
正解 正确答案是「ウ 系统管理基准」。系统管理基准是这样一种「实践规范」：面向依据经营战略和信息系统战略对信息系统进行规划、开发、运行与维护的组织，规定其应在整个生命周期中开展有效的信息系统投资，并妥善建立和运行用于降低风险的控制（内部控制）。也就是说，它是面向「管理系统的一方（被审计方、实施方）」的行为标尺，指明应当管理什么、如何管理，正面对应题干列出的「生命周期」「有效的信息系统投资」「降低风险的控制」这三个关键词。此外还应记住：在实施系统审计时，该基准会被用作判断「应有的控制状态」的尺度。
错误エ
信息系统安全对策基准是针对信息系统面临的灾害、故障、蓄意妨害行为等，为确保机密性、完整性和可用性而给出的安全对策（设备、运行、技术方面的对策）的基准。它聚焦于安全性的确保，并不涉及有效的信息系统投资这一视角，也不属于覆盖整个生命周期控制的实践规范。
ここがポイント
- 系统管理基准＝管理一方（实施方）的实践规范；系统审计基准＝审计一方（系统审计人员）的行为规范。这一对的角色分工是最常考的辨别要点；在系统审计中，系统管理基准会成为判断「应有的控制」的尺度。
- 系统管理基准的关键词是「信息系统的生命周期（规划、开发、运行、维护）」「有效的信息系统投资」「降低风险的控制」。题干出现这三点就选系统管理基准。
用語