問40
頻出度★★★
情報システムのリスクに対するコントロールが適切に整備運用されていることを検証するための手段として, 最も適切なものはどれか。
平成27年度 春期 ITパスポート試験 問40
マネジメント系システム監査 › システム監査
这道题的解析和你的作答记录。
解説
問 40
错误ア
BCP（Business Continuity Plan，业务连续性计划）是预先制定的行动计划，用于在发生灾害、大规模故障、事故等紧急情况时，尽量不中断核心业务；即使中断，也能在目标时间内恢复。它是规定应急准备的文件，而不是以第三方立场验证平时的控制措施是否得到适当建立和运行的手段。
错误イ
ITIL（Information Technology Infrastructure Library）是把 IT 服务管理方面的成功案例（最佳实践）系统整理而成的指南，在实施服务运行与改进时可作为参考手册使用。它终究只是说明服务提供做法的参考资料，而不是验证、评价控制状况的行为本身。
错误ウ
IT 治理是指企业为确立竞争优势、达成经营目标而对 IT 的运用进行适当的方向指引、控制并监督其状况的经营者责任与机制。这是被验证的控制框架本身，而不是以独立立场确认该框架是否有效运作的“手段”。被定位为验证手段的是系统审计。
- エ
正解 正确答案是エ。系统审计是指：由独立于被审计部门的专业人员——系统审计师，针对信息系统相关风险的控制措施是否得到适当建立、是否按预期运行进行检查、评价和验证，并将结果写成审计报告向经营者汇报，同时根据需要提出改进建议与劝告的活动。题干中“验证控制措施是否得到适当建立和运行的手段”这一表述，正是对系统审计目的的另一种说法。在 IT 护照考试中，还应一并掌握以下要点：系统审计依据经济产业省的《系统审计基准》《系统管理基准》实施；审计人员须具备独立性和客观性；以及审计中采用着眼于审计对象风险大小、对高风险领域重点验证的风险导向方法。
ここがポイント
- 系统审计 = 独立于被审计部门的系统审计师，对信息系统风险所对应的控制措施的建立与运行状况进行检查、评价、验证，并以审计报告向经营者汇报、提出改进建议与劝告的活动。要点在于独立性与客观性，以及对风险较大的领域重点验证的风险导向方法。
- 易混淆术语的区分：验证控制状况的手段 → 系统审计；经营者对 IT 运用进行方向指引和控制的机制 → IT 治理；IT 服务运行的最佳实践汇编 → ITIL；紧急时使业务得以延续与恢复的计划 → BCP。
用語