基本情報技術者試験過去問 - 分野別(科目A) - システム監査
令和8年7月修了 問45
| ア | 会計システムは企業会計に関する各種基準に準拠すべきなので，システム監査人を経理部に所属する公認会計士とする。 |
|---|---|
| イ | 会計システムは機密性の高い情報を扱うので，システム監査人は経理部所属の要員とする。 |
| ウ | システム監査を効率的に行うために，システム監査人は情報システム部所属の要員とする。 |
| エ | 独立性を担保するために，システム監査人は情報システム部にも経理部にも所属しない者とする。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査は，監査対象となるシステムや業務から独立した，公正で客観的な立場の人物によって行われる必要があります。この問題では，情報システム部が開発し，経理部が運用している会計システムを監査するという状況です。
もし監査人が経理部や情報システム部のいずれかに所属していると，監査の対象となる部署の利害関係者となってしまい，公正で客観的な評価を行うことが難しくなるおそれがあります。そのため，システム監査人は，監査対象である情報システム部にも経理部にも所属しない，独立した立場の者であることが最も適切とされます。この「独立性の確保」は，システム監査の信頼性を担保するための最も基本的かつ重要な原則の一つです。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査は，監査対象となるシステムや業務から独立した，公正で客観的な立場の人物によって行われる必要があります。この問題では，情報システム部が開発し，経理部が運用している会計システムを監査するという状況です。
もし監査人が経理部や情報システム部のいずれかに所属していると，監査の対象となる部署の利害関係者となってしまい，公正で客観的な評価を行うことが難しくなるおそれがあります。そのため，システム監査人は，監査対象である情報システム部にも経理部にも所属しない，独立した立場の者であることが最も適切とされます。この「独立性の確保」は，システム監査の信頼性を担保するための最も基本的かつ重要な原則の一つです。
令和8年6月修了 問45
システム監査を行う内部監査人の行為のうち，内部監査人の独立性又は客観性が損なわれないものはどれか。
| ア | 情報システムの運用管理規程の草案作成を行う。 |
|---|---|
| イ | 情報システムの信頼性や監査可能性を踏まえて情報システムの設計を行う。 |
| ウ | 情報システムの導入後にシステムの運用オペレーションを行う。 |
| エ | 情報システムの導入前に当該情報システムの管理手続のレビューを行う。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査人は「監査対象となるシステムの開発や運用に関与していない」ことが独立性・客観性の条件です。設計や運用オペレーションに関わってしまうと，自分自身の仕事を自分で評価することになり，公正な判断ができなくなります。「エ」は監査人としての立場（第三者としてチェックする）を保っていると言えるため適切です。
「ア」は，監査対象となる規程そのものの作成に関与しているため，後にその規程を監査する際に自分の仕事を自分で評価することになり，独立性が損なわれます。「イ」も同様に，開発への直接的な関与であり，後の監査で自らが設計したシステムを評価することになるため，客観性が保てません。「ウ」も，監査対象であるはずの運用業務そのものに従事してしまっており，監査人としての独立した立場から外れてしまいます。「監査人は評価する側であり，評価される対象の業務そのものには関与しない」という原則を軸に判断することが重要です。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査人は「監査対象となるシステムの開発や運用に関与していない」ことが独立性・客観性の条件です。設計や運用オペレーションに関わってしまうと，自分自身の仕事を自分で評価することになり，公正な判断ができなくなります。「エ」は監査人としての立場（第三者としてチェックする）を保っていると言えるため適切です。
「ア」は，監査対象となる規程そのものの作成に関与しているため，後にその規程を監査する際に自分の仕事を自分で評価することになり，独立性が損なわれます。「イ」も同様に，開発への直接的な関与であり，後の監査で自らが設計したシステムを評価することになるため，客観性が保てません。「ウ」も，監査対象であるはずの運用業務そのものに従事してしまっており，監査人としての独立した立場から外れてしまいます。「監査人は評価する側であり，評価される対象の業務そのものには関与しない」という原則を軸に判断することが重要です。
令和8年公開問題 問15
| ア | 監査報告書に記載した改善提案に対して改善計画を策定した上で，実行する。 |
|---|---|
| イ | 基幹システムを開発し，保守を行っている外部事業者に，当該システム監査を委託する。 |
| ウ | 経営者がどのようなニーズを有しているかを十分に把握した上で，システム監査の目的と対象範囲を決定する。 |
| エ | 情報システム部門の在籍者を監査メンバとして選定する。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査は，独立した立場の監査人が，情報システムが適切に管理・運用されているかを客観的に評価する活動です。監査を始めるにあたっては，まず経営者がどのような目的や課題意識（ニーズ）を持って監査を依頼したのかを十分に把握し，それに基づいて監査の目的と対象範囲を決定することが適切な進め方です。従って，正解は選択肢「ウ」です。
「ア」は，監査人が改善提案の実行主体になってしまっており，監査の独立性・客観性を損なうため不適切です。「イ」は，監査対象である基幹システムの開発・保守を行っている外部事業者に監査を委託しており，独立性が保てないため不適切です。「エ」も，監査対象部門である情報システム部門の在籍者を監査メンバにしており，公正な評価ができなくなるおそれがあるため不適切です。監査人は「独立性」と「客観性」を保つ必要がある点がこの分野の重要なポイントです。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査は，独立した立場の監査人が，情報システムが適切に管理・運用されているかを客観的に評価する活動です。監査を始めるにあたっては，まず経営者がどのような目的や課題意識（ニーズ）を持って監査を依頼したのかを十分に把握し，それに基づいて監査の目的と対象範囲を決定することが適切な進め方です。従って，正解は選択肢「ウ」です。
「ア」は，監査人が改善提案の実行主体になってしまっており，監査の独立性・客観性を損なうため不適切です。「イ」は，監査対象である基幹システムの開発・保守を行っている外部事業者に監査を委託しており，独立性が保てないため不適切です。「エ」も，監査対象部門である情報システム部門の在籍者を監査メンバにしており，公正な評価ができなくなるおそれがあるため不適切です。監査人は「独立性」と「客観性」を保つ必要がある点がこの分野の重要なポイントです。
令和8年1月修了 問45
| ア | マスタファイルが置かれているサーバを二重化し，耐障害性の向上を図っていること |
|---|---|
| イ | マスタファイルのデータを複数件まとめて検索・加工するための機能が，システムに盛り込まれていること |
| ウ | マスタファイルのメンテナンスは，特権アカウントを付与された者だけに許されていること |
| エ | マスタファイルへのデータ入力チェック機能が，システムに盛り込まれていること |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査における「可用性」（availability）という観点に該当する項目を問う問題です。可用性とは，システムが必要なときに継続して利用できる性質のことを指します。マスタファイルが置かれているサーバを二重化し，耐障害性を向上させるという対策は，たとえ一方のサーバに障害が発生しても，もう一方のサーバでシステムの稼働を継続できるようにするものであり，まさに可用性を高める取組みに該当します。
誤りの選択肢のうち，「複数件まとめて検索・加工する機能」は利便性や効率性に関する項目です。「特権アカウントを付与された者だけがメンテナンスできる」という項目は機密性に関する統制項目です。「データ入力チェック機能」という項目は正確性（完全性）に関する統制項目であり，それぞれ可用性とは異なる監査の観点に分類されます。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査における「可用性」（availability）という観点に該当する項目を問う問題です。可用性とは，システムが必要なときに継続して利用できる性質のことを指します。マスタファイルが置かれているサーバを二重化し，耐障害性を向上させるという対策は，たとえ一方のサーバに障害が発生しても，もう一方のサーバでシステムの稼働を継続できるようにするものであり，まさに可用性を高める取組みに該当します。
誤りの選択肢のうち，「複数件まとめて検索・加工する機能」は利便性や効率性に関する項目です。「特権アカウントを付与された者だけがメンテナンスできる」という項目は機密性に関する統制項目です。「データ入力チェック機能」という項目は正確性（完全性）に関する統制項目であり，それぞれ可用性とは異なる監査の観点に分類されます。
令和7年12月修了 問45
| ア | 許容逸脱率とは，受け入れることができる所定の内部統制の逸脱率であり，監査人がサンプルの件数を決めるときに用いられる。 |
|---|---|
| イ | サンプリングリスクとは，固有リスクと統制リスクを掛け合わせた結果である。 |
| ウ | 統計的サンプリングとは，特定の種類の例外取引を全て抽出する方法である。 |
| エ | 母集団とは，評価対象から結論を導き出すのに必要なデータ全体のうち，リスクが高いデータの集合である。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査におけるサンプリングに関する用語の説明として適切なものを選ぶ問題です。「許容逸脱率」とは，監査人が受け入れることができる内部統制からの逸脱の割合のことであり，この値をもとに，どれだけのサンプル件数を調査すればよいかを決定する際に用いられます。選択肢「ア」が正解です。
「イ」のサンプリングリスクとは，サンプル調査の結果が母集団全体の実態と異なってしまう可能性のことであり，固有リスクと統制リスクを掛け合わせたものではありません。「ウ」の統計的サンプリングとは，母集団から確率的な方法でサンプルを抽出する手法のことであり，例外取引を全て抽出する方法ではありません。「エ」の母集団とは評価対象となるデータ全体のことであり，リスクが高いデータだけの集合を指すものではありません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査におけるサンプリングに関する用語の説明として適切なものを選ぶ問題です。「許容逸脱率」とは，監査人が受け入れることができる内部統制からの逸脱の割合のことであり，この値をもとに，どれだけのサンプル件数を調査すればよいかを決定する際に用いられます。選択肢「ア」が正解です。
「イ」のサンプリングリスクとは，サンプル調査の結果が母集団全体の実態と異なってしまう可能性のことであり，固有リスクと統制リスクを掛け合わせたものではありません。「ウ」の統計的サンプリングとは，母集団から確率的な方法でサンプルを抽出する手法のことであり，例外取引を全て抽出する方法ではありません。「エ」の母集団とは評価対象となるデータ全体のことであり，リスクが高いデータだけの集合を指すものではありません。
令和7年7月修了 問45
| ア | 監査対象業務の実態を把握するために行う調査である。 |
|---|---|
| イ | 監査対象先と監査計画を調整するために行う調査である。 |
| ウ | 十分かつ適切な監査証拠を入手するために行う調査である。 |
| エ | 本調査を補完する目的で，本調査と並行して行う調査である。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査基準における予備調査の位置づけについて問うものです。監査における「予備調査」とは，本調査を効果的かつ効率的に行うために，事前に監査対象先との間で監査計画の内容を調整したり，監査対象業務に関する概要的な情報を収集したりする調査のことです。監査対象先との日程調整や監査範囲の確認など，本調査の前段階として行われる準備的な性格を持ちます。この説明に合致するのは選択肢「イ」です。
誤りの選択肢のうち，「監査対象業務の実態を把握するために行う調査」という説明は予備調査の一部の目的ではありますが，「イ」の「監査計画の調整」という表現がより試験の想定する正解に近い内容です。「十分かつ適切な監査証拠を入手するために行う調査」という説明は本調査そのものの目的を表しています。「本調査を補完する目的で本調査と並行して行う調査」という説明も予備調査の位置づけとは異なり，予備調査はあくまで本調査に「先立って」行われるものです。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査基準における予備調査の位置づけについて問うものです。監査における「予備調査」とは，本調査を効果的かつ効率的に行うために，事前に監査対象先との間で監査計画の内容を調整したり，監査対象業務に関する概要的な情報を収集したりする調査のことです。監査対象先との日程調整や監査範囲の確認など，本調査の前段階として行われる準備的な性格を持ちます。この説明に合致するのは選択肢「イ」です。
誤りの選択肢のうち，「監査対象業務の実態を把握するために行う調査」という説明は予備調査の一部の目的ではありますが，「イ」の「監査計画の調整」という表現がより試験の想定する正解に近い内容です。「十分かつ適切な監査証拠を入手するために行う調査」という説明は本調査そのものの目的を表しています。「本調査を補完する目的で本調査と並行して行う調査」という説明も予備調査の位置づけとは異なり，予備調査はあくまで本調査に「先立って」行われるものです。
令和7年6月修了 問45
システム監査において，電子文書の真正性の検証に電子証明書が利用できる公開鍵証明書取得日，電子署名生成日及び検証日の組合せはどれか。
なお，公開鍵証明書の有効期間は4年間とし，当該期間中の公開鍵証明書の更新や失効は考慮しない前提とする。
なお，公開鍵証明書の有効期間は4年間とし，当該期間中の公開鍵証明書の更新や失効は考慮しない前提とする。
| 公開鍵証明書取得日 | 電子署名生成日 | 検証日 | |
| ア | 2014年3月1日 | 2016年8月1日 | 2020年12月1日 |
| イ | 2016年1月1日 | 2018年12月1日 | 2020年2月1日 |
| ウ | 2017年4月1日 | 2017年5月1日 | 2020年12月1日 |
| エ | 2018年8月1日 | 2016年7月1日 | 2020年3月1日 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
電子文書の真正性を電子証明書によって検証するためには，電子署名を生成した時点で公開鍵証明書が既に取得され，かつ有効期間内である必要があります。また，検証を行う時点についても，電子署名が生成された時点での証明書の有効性を確認できることが前提となります。
選択肢「ウ」では，公開鍵証明書取得日が2017年4月1日，電子署名生成日がその翌月である2017年5月1日となっており，証明書取得後に署名が生成されている点，また証明書の有効期間4年間の範囲内で署名が生成されている点が条件を満たしています。従ってこれが正解です。他の選択肢では，証明書取得日より前に電子署名が生成されていたり，証明書の有効期間を超えて署名が生成されていたりするなど，時系列や有効期間の整合性が取れていない点が問題となります。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
電子文書の真正性を電子証明書によって検証するためには，電子署名を生成した時点で公開鍵証明書が既に取得され，かつ有効期間内である必要があります。また，検証を行う時点についても，電子署名が生成された時点での証明書の有効性を確認できることが前提となります。
選択肢「ウ」では，公開鍵証明書取得日が2017年4月1日，電子署名生成日がその翌月である2017年5月1日となっており，証明書取得後に署名が生成されている点，また証明書の有効期間4年間の範囲内で署名が生成されている点が条件を満たしています。従ってこれが正解です。他の選択肢では，証明書取得日より前に電子署名が生成されていたり，証明書の有効期間を超えて署名が生成されていたりするなど，時系列や有効期間の整合性が取れていない点が問題となります。
令和7年公開問題 問15
サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
| ア | サーバが設置されている施設の無人領域では，営業時間中でも，警報装置が作動するようになっている。 |
|---|---|
| イ | サーバ室に非常口，避難器具，誘導灯などを設置している。 |
| ウ | 社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。 |
| エ | 場所が分からないように，サーバ室の所在を室外に表示していない。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
情報セキュリティ監査において，サーバ室の物理的安全対策に関する指摘事項を選ぶ問題です。情報セキュリティ管理基準に照らして問題があると判断されるのは，社外から直接サーバ室へ出入りできるドアがありながら，それを常時施錠していない状況であり，正解は選択肢「ウ」です。これは不正な立ち入りを容易にしてしまうため，明確なセキュリティ上のリスクとなります。
「ア」は営業時間中でも警報装置が作動する仕組みであり，これはむしろ適切な安全対策として評価される内容です。「イ」は非常口や避難器具，誘導灯を設置しているという内容で，これは防災上望ましい対応であり指摘事項にはなりません。「エ」はサーバ室の所在を室外に表示していないという内容ですが，これはサーバ室の存在を第三者に知られにくくする配慮であり，むしろ望ましいセキュリティ対策と言えます。監査の指摘事項を選ぶ問題では，「リスクを高めている行為」を見抜くことがポイントです。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
情報セキュリティ監査において，サーバ室の物理的安全対策に関する指摘事項を選ぶ問題です。情報セキュリティ管理基準に照らして問題があると判断されるのは，社外から直接サーバ室へ出入りできるドアがありながら，それを常時施錠していない状況であり，正解は選択肢「ウ」です。これは不正な立ち入りを容易にしてしまうため，明確なセキュリティ上のリスクとなります。
「ア」は営業時間中でも警報装置が作動する仕組みであり，これはむしろ適切な安全対策として評価される内容です。「イ」は非常口や避難器具，誘導灯を設置しているという内容で，これは防災上望ましい対応であり指摘事項にはなりません。「エ」はサーバ室の所在を室外に表示していないという内容ですが，これはサーバ室の存在を第三者に知られにくくする配慮であり，むしろ望ましいセキュリティ対策と言えます。監査の指摘事項を選ぶ問題では，「リスクを高めている行為」を見抜くことがポイントです。
令和6年12月修了 問45
システム監査人の独立性が保たれている状況として，最も適切なものはどれか。
| ア | 営業部門の要員を監査チームのメンバに任命し，営業部門における個人情報保護対策についての監査を行わせる。 |
|---|---|
| イ | システム部門の要員を監査部門に異動させ，システム部門に所属していたときに開発に参加したシステムの保守についての監査を担当させる。 |
| ウ | 社内の業務システム運用を委託しているITベンダの監査部門に依頼し，社内の業務システム運用についての外部監査を担当させる。 |
| エ | 利害関係のない外部のシステム監査人を採用して内部監査人に位置付け，社内の業務システム開発についての監査を行わせる。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査の独立性とは，監査を行う人（システム監査人）が，監査の対象となる業務やシステムを実際に開発したり運用したりしている組織や担当者と，利害関係を持たない立場であることを指します。独立した立場であることによって，監査人は先入観や利害の影響を受けずに，公正で客観的な評価を行うことができます。
「エ」の「利害関係のない外部のシステム監査人を採用して内部監査人に位置付け，社内の業務システム開発についての監査を行わせる」という状況は，その監査人がもともと社外の人間であり，監査対象となるシステム開発に一切関与していなかったため，利害関係がなく，独立性が保たれていると言えます。従って，正解は「エ」です。
「ア」は，営業部門の要員が，自分の所属する営業部門自身についての監査（個人情報保護対策の監査）を行っており，身内による監査となるため独立性が保たれているとは言えません。
「イ」は，システム部門に所属していたときに自ら開発に参加したシステムについて，後で監査部門に異動してから監査を担当しており，過去の自分の仕事を自分で評価することになるため，独立性が損なわれています。
「ウ」は，システム運用を委託しているITベンダ自身の監査部門に依頼するというのは，業務を受託している側（利害関係者）に監査させることになり，こちらも独立性が保たれているとは言えません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査の独立性とは，監査を行う人（システム監査人）が，監査の対象となる業務やシステムを実際に開発したり運用したりしている組織や担当者と，利害関係を持たない立場であることを指します。独立した立場であることによって，監査人は先入観や利害の影響を受けずに，公正で客観的な評価を行うことができます。
「エ」の「利害関係のない外部のシステム監査人を採用して内部監査人に位置付け，社内の業務システム開発についての監査を行わせる」という状況は，その監査人がもともと社外の人間であり，監査対象となるシステム開発に一切関与していなかったため，利害関係がなく，独立性が保たれていると言えます。従って，正解は「エ」です。
「ア」は，営業部門の要員が，自分の所属する営業部門自身についての監査（個人情報保護対策の監査）を行っており，身内による監査となるため独立性が保たれているとは言えません。
「イ」は，システム部門に所属していたときに自ら開発に参加したシステムについて，後で監査部門に異動してから監査を担当しており，過去の自分の仕事を自分で評価することになるため，独立性が損なわれています。
「ウ」は，システム運用を委託しているITベンダ自身の監査部門に依頼するというのは，業務を受託している側（利害関係者）に監査させることになり，こちらも独立性が保たれているとは言えません。
令和6年7月修了 問45
情報セキュリティ監査基準（Ver1.0）に関する記述のうち，最も適切なものはどれか。
| ア | 情報セキュリティ監査基準（Ver1.0）は情報セキュリティマネジメントシステムの国際規格と同一の内容で策定され，更新されている。 |
|---|---|
| イ | 情報セキュリティ監査人は，他の専門家の支援を受けてはならないとしている。 |
| ウ | 情報セキュリティ監査の判断の尺度には，原則として，情報セキュリティ管理基準（平成28年）を用いることとしている。 |
| エ | 情報セキュリティ監査は高度な技術的専門性が求められるので，監査人に独立性は不要としている。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
「情報セキュリティ監査基準」とは，情報セキュリティ監査を行う際の基本的な考え方や実施方法を定めたものであり，判断の尺度としては，原則として情報セキュリティ管理基準が用いられることとされています。この点を正しく述べているのは「ウ」です。
「ア」は情報セキュリティマネジメントシステムの国際規格と同一の内容で策定・更新されているとしていますが，監査基準と国際規格は関連はあるものの，同一のものとして扱われているわけではありません。
「イ」は監査人が他の専門家の支援を受けてはならないとしていますが，実際には必要に応じて専門家の支援を受けることも認められており，この説明は不適切です。
「エ」は監査人に独立性は不要としていますが，監査という活動の性質上，監査人の独立性は非常に重要な要素とされており，この説明は監査の基本的な考え方に反します。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
同一問題 ： 〔平31修1問58〕
解説 ： 「情報セキュリティ監査基準」とは，情報セキュリティ監査を行う際の基本的な考え方や実施方法を定めたものであり，判断の尺度としては，原則として情報セキュリティ管理基準が用いられることとされています。この点を正しく述べているのは「ウ」です。
「ア」は情報セキュリティマネジメントシステムの国際規格と同一の内容で策定・更新されているとしていますが，監査基準と国際規格は関連はあるものの，同一のものとして扱われているわけではありません。
「イ」は監査人が他の専門家の支援を受けてはならないとしていますが，実際には必要に応じて専門家の支援を受けることも認められており，この説明は不適切です。
「エ」は監査人に独立性は不要としていますが，監査という活動の性質上，監査人の独立性は非常に重要な要素とされており，この説明は監査の基本的な考え方に反します。
令和6年6月修了 問45
情報システムの監査可能性（Auditability）を説明したものはどれか。
| ア | コントロールの有効性を監査できるように，情報システムが設計・運用されていること |
|---|---|
| イ | システム監査人が，監査の目的に合致した有効な手続を行える能力をもっていること |
| ウ | 情報システムから入手した監査証拠の十分性と監査報告書の完成度が保たれていること |
| エ | 情報システム部門の積極的な協力が得られること |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
情報システムの「監査可能性」（Auditability）とは，システムのコントロール（内部統制のしくみ）が有効に機能しているかどうかを，監査人が適切に監査できるように，あらかじめシステムが設計・運用されている状態を指します。正解は「ア」です。
「イ」はシステム監査人自身の適格性に関する説明，「ウ」は監査証拠の十分性や監査報告書の品質に関する説明，「エ」は監査対象部門の協力姿勢に関する説明であり，いずれも監査可能性そのものの定義とは異なります。監査可能性は「システム側が監査しやすいように作られているか」という視点の言葉であることを覚えておくとよいでしょう。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
同一問題 ： 〔令4修1問59〕
解説 ： 情報システムの「監査可能性」（Auditability）とは，システムのコントロール（内部統制のしくみ）が有効に機能しているかどうかを，監査人が適切に監査できるように，あらかじめシステムが設計・運用されている状態を指します。正解は「ア」です。
「イ」はシステム監査人自身の適格性に関する説明，「ウ」は監査証拠の十分性や監査報告書の品質に関する説明，「エ」は監査対象部門の協力姿勢に関する説明であり，いずれも監査可能性そのものの定義とは異なります。監査可能性は「システム側が監査しやすいように作られているか」という視点の言葉であることを覚えておくとよいでしょう。
令和6年1月修了 問45
A社では，自然災害などの際の事業継続を目的として，業務システムのデータベースのバックアップを取得している。その状況について， “情報セキュリティ管理基準（平成28年）” に従って実施した監査結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
| ア | バックアップ取得手順書を作成し，取得担当者を定めていた。 |
|---|---|
| イ | バックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。 |
| ウ | バックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。 |
| エ | バックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
情報セキュリティ管理基準に照らして，データベースのバックアップ運用について監査した結果，指摘事項として報告すべき状況を選ぶ問題です。バックアップの目的の一つは，災害などで元のシステムやデータが失われた場合に備えることにあります。
ところが，バックアップを取得した記録媒体を，業務システムが稼働しているサーバのすぐ近くに保管していると，地震や火災などの災害が起きた際に，元のデータとバックアップの両方が同時に被害を受けてしまう可能性があります。これでは事業継続を目的としたバックアップの意味が薄れてしまうため，監査での指摘事項として報告すべき状況にあたります。従って，正解は「エ」です。
「ア」の手順書の作成や担当者の明確化，「イ」の復旧試験の定期的な実施，「ウ」の機密保持契約を結んだ外部倉庫会社への委託保管は，いずれもバックアップ運用として適切かつ望ましい対応であり，特に指摘すべき問題点とはいえません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
情報セキュリティ管理基準に照らして，データベースのバックアップ運用について監査した結果，指摘事項として報告すべき状況を選ぶ問題です。バックアップの目的の一つは，災害などで元のシステムやデータが失われた場合に備えることにあります。
ところが，バックアップを取得した記録媒体を，業務システムが稼働しているサーバのすぐ近くに保管していると，地震や火災などの災害が起きた際に，元のデータとバックアップの両方が同時に被害を受けてしまう可能性があります。これでは事業継続を目的としたバックアップの意味が薄れてしまうため，監査での指摘事項として報告すべき状況にあたります。従って，正解は「エ」です。
「ア」の手順書の作成や担当者の明確化，「イ」の復旧試験の定期的な実施，「ウ」の機密保持契約を結んだ外部倉庫会社への委託保管は，いずれもバックアップ運用として適切かつ望ましい対応であり，特に指摘すべき問題点とはいえません。
令和5年7月修了 問45
| ア | 従業員の緊急連絡先リストを作成し，最新版に更新している。 |
|---|---|
| イ | 重要書類は複製せずに，1か所で集中保管している。 |
| ウ | 全ての業務について，優先順位なしに同一水準のBCPを策定している。 |
| エ | 平時にはBCPを従業員に非公開としている。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
「事業継続計画」（BCP）とは，地震や火災などの災害，あるいはシステム障害などの緊急事態が発生した場合でも，企業が重要な業務を中断させることなく継続，あるいは早期に復旧させるためにあらかじめ策定しておく計画のことです。
BCPを適切に運用するためには，緊急時に速やかに関係者へ連絡を取れるよう，従業員の緊急連絡先リストを作成し，常に最新の状態に更新しておくことが重要です。従って，正解は「ア」です。
「イ」は，重要書類を複製せずに1か所で集中保管しているとしていますが，これでは，その保管場所自体が被災してしまった場合に，重要書類がすべて失われてしまうリスクがあり，事業継続の観点からは，複数の場所に分散して保管したり，複製を作成したりすることが望ましいとされています。
「ウ」は，全ての業務について優先順位なしに同一水準のBCPを策定しているとしていますが，実際には，企業が持つ限られた経営資源を有効に活用するために，事業への影響度に応じて業務の優先順位を付け，特に重要な業務を優先的に復旧できるようなBCPを策定することが望ましいとされています。
「エ」は，平時にはBCPを従業員に非公開としているとしていますが，緊急時に従業員が適切に行動できるようにするためには，平時からBCPの内容を従業員に周知し，必要に応じて訓練を行っておくことが重要であり，非公開にしておくことは適切な対応とはいえません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
「事業継続計画」（BCP）とは，地震や火災などの災害，あるいはシステム障害などの緊急事態が発生した場合でも，企業が重要な業務を中断させることなく継続，あるいは早期に復旧させるためにあらかじめ策定しておく計画のことです。
BCPを適切に運用するためには，緊急時に速やかに関係者へ連絡を取れるよう，従業員の緊急連絡先リストを作成し，常に最新の状態に更新しておくことが重要です。従って，正解は「ア」です。
「イ」は，重要書類を複製せずに1か所で集中保管しているとしていますが，これでは，その保管場所自体が被災してしまった場合に，重要書類がすべて失われてしまうリスクがあり，事業継続の観点からは，複数の場所に分散して保管したり，複製を作成したりすることが望ましいとされています。
「ウ」は，全ての業務について優先順位なしに同一水準のBCPを策定しているとしていますが，実際には，企業が持つ限られた経営資源を有効に活用するために，事業への影響度に応じて業務の優先順位を付け，特に重要な業務を優先的に復旧できるようなBCPを策定することが望ましいとされています。
「エ」は，平時にはBCPを従業員に非公開としているとしていますが，緊急時に従業員が適切に行動できるようにするためには，平時からBCPの内容を従業員に周知し，必要に応じて訓練を行っておくことが重要であり，非公開にしておくことは適切な対応とはいえません。
令和5年公開問題 問14
A社では，従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程について，情報セキュリティ管理基準（平成28年）に従って監査を実施した。判明した事項のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
| ア | テレワーキング運用規程に従うことを条件に，全ての従業員が利用できる。 |
|---|---|
| イ | テレワーキングで従業員が使用するPCは，A社から支給されたものに限定する。 |
| ウ | テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は，従業員それぞれが判断する。 |
| エ | テレワーキングで使用するPCを，従業員の家族に使用させない。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
テレワーキング運用規程について，情報セキュリティ監査の指摘事項として記載すべきものを選ぶ問題です。
マルウェア対策ソフトの導入の要不要を従業員それぞれの判断に委ねてしまうと，対策が不十分な従業員のPCを経由して組織全体がセキュリティリスクにさらされる可能性があるため，これは監査人が指摘すべき事項に該当し，正解は選択肢「ウ」です。
「ア」はテレワーキング運用規程に従うことを条件に全従業員が利用できるという内容であり，これは特に問題のある運用とは言えません。
「イ」は使用するPCをA社から支給されたものに限定するという内容であり，これはむしろ会社が管理しやすい望ましい対策といえます。
「エ」は家族に使用させないという内容であり，これも情報漏えいのリスクを減らすための適切な対策です。
マルウェア対策のような基本的なセキュリティ対策を個人の判断に委ねてしまうことは，組織全体のセキュリティレベルを不安定にする要因となるため，統一的なルールを定めることが望ましいという考え方がこの問題の核心です。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
テレワーキング運用規程について，情報セキュリティ監査の指摘事項として記載すべきものを選ぶ問題です。
マルウェア対策ソフトの導入の要不要を従業員それぞれの判断に委ねてしまうと，対策が不十分な従業員のPCを経由して組織全体がセキュリティリスクにさらされる可能性があるため，これは監査人が指摘すべき事項に該当し，正解は選択肢「ウ」です。
「ア」はテレワーキング運用規程に従うことを条件に全従業員が利用できるという内容であり，これは特に問題のある運用とは言えません。
「イ」は使用するPCをA社から支給されたものに限定するという内容であり，これはむしろ会社が管理しやすい望ましい対策といえます。
「エ」は家族に使用させないという内容であり，これも情報漏えいのリスクを減らすための適切な対策です。
マルウェア対策のような基本的なセキュリティ対策を個人の判断に委ねてしまうことは，組織全体のセキュリティレベルを不安定にする要因となるため，統一的なルールを定めることが望ましいという考え方がこの問題の核心です。
令和5年1月修了 問59
外部保管のために専門業者に機密情報を含むバックアップ媒体を引き渡す際の安全性について，情報セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
| ア | 委託元責任者が，一定期間ごとに，専門業者における媒体保管状況を確認する契約を結んだ上で引き渡している。 |
|---|---|
| イ | 委託元責任者が，専門業者との間で，機密保持条項を盛り込んだ業務委託契約を結んだ上で引き渡している。 |
| ウ | 委託元担当者が，専用の記録簿に，引渡しの都度，日付と内容を記入し，専門業者から受領印をもらっている。 |
| エ | 委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
機密情報を含むバックアップ媒体を専門業者に引き渡す際の安全性について，システム監査で指摘すべき事項を問う問題です。
選択肢「エ」にある通り，バックアップ媒体を単に段ボール箱に入れて引き渡しているという状況は，媒体の紛失や盗難，内容物の確認漏れといったリスクに対する対策が不十分であり，機密情報を扱う際の安全管理としては不適切です。専用の施錠可能な輸送容器を使用したり，内容物を確認できる記録を残したりするなどの対策が求められるため，この状況は監査で指摘すべき事項に該当します。
「ア」は，委託元責任者が専門業者における媒体の保管状況を確認する契約を結んでいるという内容であり，これは適切な管理が行われていることを示しており，指摘事項には該当しません。
「イ」は，機密保持条項を盛り込んだ業務委託契約を結んでいるという内容であり，これも適切な対策が講じられていることを示しています。
「ウ」は，専用の記録簿に引渡しの都度記入し受領印をもらっているという内容であり，これも受け渡しの管理が適切に行われていることを示しています。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
機密情報を含むバックアップ媒体を専門業者に引き渡す際の安全性について，システム監査で指摘すべき事項を問う問題です。
選択肢「エ」にある通り，バックアップ媒体を単に段ボール箱に入れて引き渡しているという状況は，媒体の紛失や盗難，内容物の確認漏れといったリスクに対する対策が不十分であり，機密情報を扱う際の安全管理としては不適切です。専用の施錠可能な輸送容器を使用したり，内容物を確認できる記録を残したりするなどの対策が求められるため，この状況は監査で指摘すべき事項に該当します。
「ア」は，委託元責任者が専門業者における媒体の保管状況を確認する契約を結んでいるという内容であり，これは適切な管理が行われていることを示しており，指摘事項には該当しません。
「イ」は，機密保持条項を盛り込んだ業務委託契約を結んでいるという内容であり，これも適切な対策が講じられていることを示しています。
「ウ」は，専用の記録簿に引渡しの都度記入し受領印をもらっているという内容であり，これも受け渡しの管理が適切に行われていることを示しています。
令和4年12月修了 問58
| ア | インタビュー法 |
|---|---|
| イ | ウォークスルー法 |
| ウ | 監査モジュール法 |
| エ | ペネトレーションテスト法 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
答えは「イ」です。「ウォークスルー法」とは，システム監査において，システム監査人が，データの生成から入力，処理，出力，活用までの一連のプロセス，およびそのプロセスに組み込まれているコントロール（内部統制の仕組み）を，書面上で，あるいは実際にシステムを操作しながら，一つずつ順を追って追跡していく監査技法のことです。
この技法を用いることで，システムが設計どおりに動作しているか，また必要なコントロールが適切に機能しているかを，具体的な処理の流れに沿って確認することができます。
「ア」の「インタビュー法」は，監査対象の担当者に直接質問を行い，口頭で情報を収集する監査技法のことであり，プロセスを実際に追跡するウォークスルー法とは異なる手法です。
「ウ」の「監査モジュール法」は，監査対象のシステムにあらかじめ監査用のプログラムモジュールを組み込んでおき，処理の過程で自動的に監査に必要なデータを収集する技法のことであり，こちらもウォークスルー法とは異なるアプローチです。
「エ」の「ペネトレーションテスト法」は，実際に攻撃者と同じ手法を用いてシステムへの侵入を試み，脆弱性の有無を確認する技法のことであり，プロセスの追跡を目的とするウォークスルー法とは異なる目的の技法です。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
答えは「イ」です。「ウォークスルー法」とは，システム監査において，システム監査人が，データの生成から入力，処理，出力，活用までの一連のプロセス，およびそのプロセスに組み込まれているコントロール（内部統制の仕組み）を，書面上で，あるいは実際にシステムを操作しながら，一つずつ順を追って追跡していく監査技法のことです。
この技法を用いることで，システムが設計どおりに動作しているか，また必要なコントロールが適切に機能しているかを，具体的な処理の流れに沿って確認することができます。
「ア」の「インタビュー法」は，監査対象の担当者に直接質問を行い，口頭で情報を収集する監査技法のことであり，プロセスを実際に追跡するウォークスルー法とは異なる手法です。
「ウ」の「監査モジュール法」は，監査対象のシステムにあらかじめ監査用のプログラムモジュールを組み込んでおき，処理の過程で自動的に監査に必要なデータを収集する技法のことであり，こちらもウォークスルー法とは異なるアプローチです。
「エ」の「ペネトレーションテスト法」は，実際に攻撃者と同じ手法を用いてシステムへの侵入を試み，脆弱性の有無を確認する技法のことであり，プロセスの追跡を目的とするウォークスルー法とは異なる目的の技法です。
令和4年12月修了 問59
| ア | 改善提案に対する改善の実施を監査対象部門の長に指示する。 |
|---|---|
| イ | 改善提案に対する監査対象部門の改善実施プロジェクトの管理を行う。 |
| ウ | 改善提案に対する監査対象部門の改善状況をモニタリングする。 |
| エ | 改善提案の内容を監査対象部門に示した上で改善実施計画を策定する。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査人が行う改善提案のフォローアップとは，監査によって指摘した問題点について，監査対象部門が実際にどのように改善を行っているかを，その後の状況を確認していくプロセスのことです。
選択肢「ウ」にある，改善提案に対する監査対象部門の改善状況をモニタリングするという行為が，システム監査人が担うべきフォローアップの役割として適切です。システム監査人はあくまで独立した立場から監査を行う存在であるため，改善の実施そのものに直接関与するのではなく，改善が計画どおりに進んでいるかどうかを客観的に確認する立場にとどまる必要があります。
「ア」は，改善提案に対する改善の実施を監査対象部門の長に指示するという内容ですが，改善の実施を指示する権限は，監査人ではなく経営者や監査対象部門の責任者にあるため，監査人がこれを行うのは独立性の観点から適切ではありません。
「イ」は，改善提案に対する監査対象部門の改善実施プロジェクトの管理を行うという内容ですが，監査人がプロジェクトの管理という実務にまで関与してしまうと，監査人としての独立性や客観性が損なわれるおそれがあるため不適切です。
「エ」は，改善提案の内容を監査対象部門に示した上で改善実施計画を策定するという内容ですが，改善実施計画の策定は監査対象部門自身が行うべきものであり，監査人が策定に関与することは独立性の観点から望ましくありません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
解説 ：
システム監査人が行う改善提案のフォローアップとは，監査によって指摘した問題点について，監査対象部門が実際にどのように改善を行っているかを，その後の状況を確認していくプロセスのことです。
選択肢「ウ」にある，改善提案に対する監査対象部門の改善状況をモニタリングするという行為が，システム監査人が担うべきフォローアップの役割として適切です。システム監査人はあくまで独立した立場から監査を行う存在であるため，改善の実施そのものに直接関与するのではなく，改善が計画どおりに進んでいるかどうかを客観的に確認する立場にとどまる必要があります。
「ア」は，改善提案に対する改善の実施を監査対象部門の長に指示するという内容ですが，改善の実施を指示する権限は，監査人ではなく経営者や監査対象部門の責任者にあるため，監査人がこれを行うのは独立性の観点から適切ではありません。
「イ」は，改善提案に対する監査対象部門の改善実施プロジェクトの管理を行うという内容ですが，監査人がプロジェクトの管理という実務にまで関与してしまうと，監査人としての独立性や客観性が損なわれるおそれがあるため不適切です。
「エ」は，改善提案の内容を監査対象部門に示した上で改善実施計画を策定するという内容ですが，改善実施計画の策定は監査対象部門自身が行うべきものであり，監査人が策定に関与することは独立性の観点から望ましくありません。
令和4年12月修了 問60
| ア | 委託者が作成したユーザ受入テスト計画書に従って，受託者が成果物に対してユ-ザ受入テストを実施していること |
|---|---|
| イ | 受託者が成果物と一緒にユーザ受入テスト計画書を納品していること |
| ウ | 受託者から納品された成果物に対して，委託者が要件定義に基づきユーザ受入テストを実施していること |
| エ | 受託者から納品された成果物に対して，監査人がユーザ受入テスト計画を策定していること |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
システム開発を外部の業者に委託した場合に，納品される成果物に対するユーザ受入テストの適切性を確認するためのシステム監査の着眼点を問題ものです。
選択肢「ウ」にある通り，受託者から納品された成果物に対して，委託者自身が，あらかじめ定められた要件定義に基づいてユーザ受入テストを実施しているかどうかという点が，監査において確認すべき重要な着眼点です。
ユーザ受入テストは，委託者が実際に業務で使用する立場から，成果物が要求どおりの機能を満たしているかを確認するために行うものであるため，委託者自身がこれを主体的に実施しているかどうかが重要になります。
「ア」は，委託者が作成したユーザ受入テスト計画書に従って受託者が成果物に対してテストを実施しているという内容ですが，受入テストは本来，委託者自身が主体となって実施すべきものであり，受託者がテストを実施するという内容は受入テストの本来の趣旨からずれています。
「イ」は，受託者が成果物と一緒にユーザ受入テスト計画書を納品しているという内容ですが，受入テスト計画は委託者自身が要件定義に基づいて作成すべきものであり，受託者が計画書を作成して納品するという流れは適切ではありません。
「エ」は，受託者から納品された成果物に対して監査人がユーザ受入テスト計画を策定しているという内容ですが，監査人はあくまで監査を行う独立した立場であり，テスト計画の策定という実務に関与することは適切ではありません。
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
同一問題 ： 〔令2修6問60〕
解説 ： システム開発を外部の業者に委託した場合に，納品される成果物に対するユーザ受入テストの適切性を確認するためのシステム監査の着眼点を問題ものです。
選択肢「ウ」にある通り，受託者から納品された成果物に対して，委託者自身が，あらかじめ定められた要件定義に基づいてユーザ受入テストを実施しているかどうかという点が，監査において確認すべき重要な着眼点です。
ユーザ受入テストは，委託者が実際に業務で使用する立場から，成果物が要求どおりの機能を満たしているかを確認するために行うものであるため，委託者自身がこれを主体的に実施しているかどうかが重要になります。
「ア」は，委託者が作成したユーザ受入テスト計画書に従って受託者が成果物に対してテストを実施しているという内容ですが，受入テストは本来，委託者自身が主体となって実施すべきものであり，受託者がテストを実施するという内容は受入テストの本来の趣旨からずれています。
「イ」は，受託者が成果物と一緒にユーザ受入テスト計画書を納品しているという内容ですが，受入テスト計画は委託者自身が要件定義に基づいて作成すべきものであり，受託者が計画書を作成して納品するという流れは適切ではありません。
「エ」は，受託者から納品された成果物に対して監査人がユーザ受入テスト計画を策定しているという内容ですが，監査人はあくまで監査を行う独立した立場であり，テスト計画の策定という実務に関与することは適切ではありません。
令和4年7月修了 問58
| ア | ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。 |
|---|---|
| イ | データに関するアクセス制御の管理規程を閲覧した。 |
| ウ | ネットワークに関するアクセス制御の管理方針を制定した。 |
| エ | ハードウェアに関するアクセス制御の運用手続を実施した。 |
令和4年7月修了 問59
経営者が社内のシステム監査人の外観上の独立性を担保するために講じる措置として，最も適切なものはどれか。
| ア | システム監査人にITに関する継続的学習を義務付ける。 |
|---|---|
| イ | システム監査人に必要な知識や経験を定めて公表する。 |
| ウ | システム監査人の監査技法研修制度を設ける。 |
| エ | システム監査人の所属部署を内部監査部門とする。 |
令和4年7月修了 問60
ソフトウェア資産管理に対する監査のチェックポイントとして，最も適切なものはどれか。
| ア | ソフトウェアの提供元の開発体制について考慮しているか。 |
|---|---|
| イ | ソフトウェアの導入時に既存システムとの整合性を評価しているか。 |
| ウ | ソフトウェアのライセンス証書などのエビデンスが保管されているか。 |
| エ | データベースの分割などによって障害の局所化が図られているか。 |
令和4年6月修了 問59
システム監査報告書に記載する指摘事項に関する説明のうち，適切なものはどれか。
| ア | 監査証拠による裏付けの有無にかかわらず，監査人が指摘事項とする必要があると判断した事項を記載する。 |
|---|---|
| イ | 監査人が指摘事項とする必要があると判断した事項のうち，監査対象部門の責任者が承認した事項を記載する。 |
| ウ | 調査結果に事実誤認がないことを監査対象部門に確認した上で，監査人が指摘事項とする必要があると判断した事項を記載する。 |
| エ | 不備の内容や重要性は考慮せず，全てを漏れなく指摘事項として記載する。 |
令和4年6月修了 問60
販売管理システムにおいて，起票された受注伝票の入力が，漏れなく，かつ，重複することなく実施されていることを確かめる監査手続として，適切なものはどれか。
| ア | 受注データから値引取引データなどの例外取引データを抽出し，承認の記録を確かめる。 |
|---|---|
| イ | 受注伝票の入力時に論理チェック及びフォーマットチェックが行われているか，テストデータ法で確かめる。 |
| ウ | 販売管理システムから出力したプルーフリストと受注伝票との照合が行われているか，プルーフリストと受注伝票上の照合印を確かめる。 |
| エ | 並行シミュレーション法を用いて，受注伝票を処理するプログラムの論理の正確性を確かめる。 |
令和3年12月修了 問58
| ア | あらかじめシステム監査人が準備したテスト用データを監査対象プログラムで処理し，期待した結果が出力されるかどうかを確かめる。 |
|---|---|
| イ | 監査対象の実態を確かめるために，システム監査人が，直接，関係者に口頭で問い合わせ，回答を入手する。 |
| ウ | 監査対象の状況に関する監査証拠を入手するために，システム監査人が，関連する資料及び文書類を入手し，内容を点検する。 |
| エ | データの生成から入力，処理，出力，活用までのプロセス，及び組み込まれているコントロールを，システム監査人が，書面上で，又は実際に追跡する。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和3年12月修了 問59
| ア | インシデント対応手順が作成され，関係者への周知が図られている。 |
|---|---|
| イ | インシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。 |
| ウ | インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。 |
| エ | 全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。 |
令和3年12月修了 問60
情報セキュリティ監査において，可用性を確認するチェック項目はどれか。
| ア | 外部記憶媒体の無断持出しが禁止されていること |
|---|---|
| イ | 中断時間を定めたSLAの水準が保たれるように管理されていること |
| ウ | データ入力時のエラーチェックが適切に行われていること |
| エ | データベースが暗号化されていること |
令和3年7月修了 問58
システム監査における “監査手続” として，最も適切なものはどれか。
| ア | 監査計画の立案や監査業務の進捗管理を行うための手順 |
|---|---|
| イ | 監査結果を受けて，監査報告書に監査人の結論や指摘事項を記述する手順 |
| ウ | 監査項目について，十分かつ適切な証拠を入手するための手順 |
| エ | 監査テーマに合わせて，監査チームを編成する手順 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和3年6月修了 問58
システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち，監査人がシステム監査報告書で報告すべき指摘事項はどれか。
| ア | アクセス権を付与された利用者ID・パスワードに関して，システム利用者が遵守すべき事項が規程として定められ，システム利用者に周知されていた。 |
|---|---|
| イ | 業務部門長によって，所属するシステム利用者に対するアクセス権の付与状況のレビューが定期的に行われていた。 |
| ウ | システム利用者に対するアクセス権の付与・変更・削除に関する管理手続が，規程として定められていた。 |
| エ | 退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。 |
令和3年6月修了 問59
システム監査基準（平成30年）における監査手続の実施に際して利用する技法に関する記述のうち，適切なものはどれか。
| ア | インタビュー法とは，システム監査人が，直接，関係者に口頭で問い合わせ，回答を入手する技法をいう。 |
|---|---|
| イ | 現地調査法は，システム監査人が監査対象部門に直接赴いて，自ら観察・調査するものなので，当該部門の業務時間外に実施しなければならない。 |
| ウ | コンピュータ支援監査技法は，システム監査上使用頻度の高い機能に特化した，しかも非常に簡単な操作で利用できる専用ソフトウェアによらなければならない。 |
| エ | チェックリスト法とは，監査対象部門がチェックリストを作成及び利用して，監査対象部門の見解を取りまとめた結果をシステム監査人が点検する技法をいう。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和3年1月修了 問58
| ア | テストケースが網羅的に想定されていること |
|---|---|
| イ | テスト計画は利用者側の責任者だけで承認されていること |
| ウ | テストは実際に業務が行われている環境で実施されていること |
| エ | テストは利用者側の担当者だけで行われていること |
令和2年12月修了 問58
| ア | 会計システムは企業会計に関する各種基準に準拠すべきなので，システム監査人を公認会計士とする。 |
|---|---|
| イ | 会計システムは機密性の高い情報を扱うので，システム監査人は経理部長直属とする。 |
| ウ | システム監査を効率的に行うために，システム監査人は情報システム部長直属とする。 |
| エ | 独立性を担保するために，システム監査人は情報システム部にも経理部にも所属しない者とする。 |
令和2年7月修了 問58
システム監査人がインタビュー実施時にすべきことのうち，最も適切なものはどれか。
| ア | インタビューで監査対象部門から得た情報を裏付けるための文書や記録を入手するよう努める。 |
|---|---|
| イ | インタビューの中で気が付いた不備事項について，その場で監査対象部門に改善を指示する。 |
| ウ | 監査対象部門内の監査業務を経験したことのある管理者をインタビューの対象者として選ぶ。 |
| エ | 複数の監査人でインタビューを行うと記録内容に相違が出ることがあるので，1人の監査人が行う。 |
令和2年6月修了 問59
事務所の物理的セキュリティ対策について，JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）に基づいて情報セキュリティ監査を実施した。判明した状況のうち，監査人が監査報告書に指摘事項として記載すべきものはどれか。
| ア | 外部からの荷物の受渡しは，サーバ室などの情報処理施設にアクセスすることなく荷物の積降ろしができる場所で行っている。 |
|---|---|
| イ | 機密性の高い情報資産が置かれている部屋には，入室許可を得た者が共通の暗証番号を入力して入室している。 |
| ウ | 機密性の高い情報資産が置かれる部屋は，社員以外の者の目に触れる場所を避けて設けている。 |
| エ | 取引先との打合せは，社員が業務を行っている執務室から分離された場所であって，かつ，機密性の高い情報資産が置かれていない場所で行っている。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和2年1月修了 問58
外部委託管理の監査に関する記述のうち，最も適切なものはどれか。
| ア | 請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。 |
|---|---|
| イ | 請負契約においては，受託側要員に対する委託側責任者の指揮命令が行われていることを，委託側で監査する。 |
| ウ | 外部委託で開発した業務システムの品質管理状況は，委託側で監査せず，受託側で監査する。 |
| エ | 機密性が高い業務システムの開発を外部に委託している場合は，自社開発に切り替えるよう，監査結果の報告において改善勧告する。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和1年12月修了 問58
JIS Q 27001:2014（情報セキュリティマネジメントシステム-要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
| ア | USBメモリの使用を，定められた手順に従って許可していた。 |
|---|---|
| イ | 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。 |
| ウ | マルウェアスキャンでスパイウェアが検知され，駆除されていた。 |
| エ | リスクアセスメントを実施した後に，リスク受容基準を決めた。 |
令和1年12月修了 問59
| ア | バックアップジョブの再実施 |
|---|---|
| イ | バックアップジョブの設定内容及びジョブの実行結果ログの閲覧 |
| ウ | バックアップデータからのリカバリテストの実施 |
| エ | バックアップ媒体やバックアップ装置の観察 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和1年12月修了 問60
情報システムの可監査性を説明したものはどれか。
| ア | コントロールの有効性を監査できるように，情報システムが設計・運用されていること |
|---|---|
| イ | システム監査人が，監査の目的に合致した有効な手続を行える能力をもっていること |
| ウ | 情報システムから入手した監査証拠の十分性と監査報告書の完成度が保たれていること |
| エ | 情報システム部門の積極的な協力が得られること |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
令和1年6月修了 問58
システム監査実施体制のうち，システム監査人の独立性の観点から最も避けるべきものはどれか。
| ア | 監査チームメンバに任命された総務部のAさんが，他のメンバと一緒に，総務部の入退室管理の状況を監査する。 |
|---|---|
| イ | 監査部のBさんが，個人情報を取り扱う業務を委託している外部企業の個人情報管理状況を監査する。 |
| ウ | 情報システム部の開発管理者から5年前に監査部に異動したCさんが，マーケティング部におけるインターネットの利用状況を監査する。 |
| エ | 法務部のDさんが，監査部からの依頼によって，外部委託契約の妥当性の監査において，監査人に協力する。 |
令和1年6月修了 問60
| ア | システム監査チームが監査意見を取りまとめるためのミーティングの議事録 |
|---|---|
| イ | システム監査チームが監査報告書に記載した指摘事項 |
| ウ | システム監査チームが作成した個別監査計画書 |
| エ | システム監査チームが被監査部門から入手したシステム運用記録 |
平成30年12月修了 問58
システムに関わるドキュメントが漏えい，改ざん，不正使用されるリスクに対するコントロールを監査する際のチェックポイントはどれか。
| ア | システムの変更に伴い，ドキュメントを遅滞なく更新していること |
|---|---|
| イ | ドキュメントの機密性を確保するための対策を講じていること |
| ウ | ドキュメントの標準化を行っていること |
| エ | アジャイル開発においても，必要なドキュメントを作成していること |
平成30年12月修了 問59
外部委託に関するシステム監査において，経営破綻などによってソフトウェア資産のメンテナンスが受けられなくなることを防ぐために確認すべき契約項目はどれか。
| ア | 開発したソフトウェアの瑕疵担保責任条項 |
|---|---|
| イ | 外部委託先のサービスを評価するためのSLA条項 |
| ウ | 責任の所在を明確にするためのソフトウェア開発の再委託禁止条項 |
| エ | ソフトウェアのソースコードなどを第三者へ預託するエスクロウ条項 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成30年12月修了 問60
監査調書に関する説明はどれか。
| ア | 監査人が行った監査手続の実施記録であり，監査意見の根拠となる。 |
|---|---|
| イ | 監査人が監査の実施に当たり被監査部門に対して提出する，情報セキュリティに関する誓約書をまとめたものである。 |
| ウ | 監査人が監査の実施に利用した基準書，ガイドラインをまとめたものである。 |
| エ | 監査人が正当な注意義務を払ったことを証明するために，監査報告書とともに公表するよう義務付けられたものである。 |
平成30年7月修了 問59
| ア | 当該データが経営効率の改善に役立っているかどうかを分析していること |
|---|---|
| イ | 当該データの記録媒体に秘密を意味する表示をしていること |
| ウ | 当該データの内容が刊行物に掲載されていないかを定期的に確認していること |
| エ | 当該データの内容が公序良俗に反していないかを確認していること |
平成30年7月修了 問60
システム監査報告書に記載された改善勧告に対して，被監査部門から提出された改善計画を経営者がITガバナンスの観点から評価する際の方針のうち，最も適切なものはどれか。
| ア | 1年以内に実現できる改善を実施する。 |
|---|---|
| イ | 経営資源の状況を踏まえて改善を実施する。 |
| ウ | 情報システムの機能面の改善に絞って実施する。 |
| エ | 被監査部門の予算の範囲内で改善を実施する。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成30年6月修了 問60
| ア | 特権IDの貸出し及び返却の管理簿と，特権IDの利用ログを照合する。 |
|---|---|
| イ | 特権IDの使用を許可された者も，通常の操作では一般利用者IDを使用する。 |
| ウ | 特権IDの使用を必要とする者は，使用の都度，特権IDの貸出しを受ける。 |
| エ | 特権IDの設定内容や使用範囲を，用途に応じて細分化する。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成30年春期 問58
システム監査人の行為のうち，適切なものはどれか。
| ア | 調査が不十分な事項について，過去の経験に基づいて監査意見をまとめた。 |
|---|---|
| イ | 調査によって発見した問題点について，改善指摘を行った。 |
| ウ | 調査の過程で発見した問題点について，その都度，改善を命令した。 |
| エ | 調査の途中で当初計画していた期限がきたので，監査報告書の作成に移った。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成30年1月修了 問58
システム監査人の役割と権限に関する記述のうち，適切なものはどれか。
| ア | システム監査人によるシステム監査によって，法令による会計監査を代替できる。 |
|---|---|
| イ | システム監査人は，システム管理者に対して監査の実施に協力するよう要請できる。 |
| ウ | システム監査人は，情報セキュリティ方針を決定できる。 |
| エ | システム監査人は，被監査部門に対して改善命令を出すことができる。 |
平成30年1月修了 問59
リスクアセスメントに基づいて選定する監査対象として，適切なものはどれか。
| ア | 運用開始時期の順に，全てのシステムを対象とする。 |
|---|---|
| イ | 監査実施体制を踏まえて，実施可能なシステムを対象とする。 |
| ウ | 無作為に抽出したシステムを対象とする。 |
| エ | 問題発生の可能性とその影響の大きなシステムを対象とする。 |
平成29年12月修了 問58
| ア | 既存の社内情報システムとのIDの一元管理の可否が検討されているか。 |
|---|---|
| イ | クラウドサービスの障害時における最大許容停止時間が検討されているか。 |
| ウ | クラウドサービスを提供する事業者に信頼が置け，かつ，事業やサービスが継続して提供されるかどうかが検討されているか。 |
| エ | クラウドサービスを提供する事業者の施設内のネットワークに，暗号化通信が採用されているかどうかが検討されているか。 |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年12月修了 問59
システム監査人による監査手法の適用方法として，適切なものはどれか。
| ア | アンケート調査では，被監査部門から要望が多かった項目を指摘事項にする。 |
|---|---|
| イ | 現場調査では，監査人が見た実態と被監査部門からの説明を総合的に判断して，監査証拠とする。 |
| ウ | チェックリストを用いた調査では，被監査部門がチェックして記入した内容に限定して，監査意見を表明する。 |
| エ | 文書確認調査では，未作成であった証憑を，調査が完了するまでに被監査部門に作成させる。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年12月修了 問60
システム監査報告書に記載された改善勧告への取組みに対する監査人のフォローアップとして，適切なものはどれか。
| ア | 改善勧告に対する改善の実施を被監査部門の長に指示する。 |
|---|---|
| イ | 改善勧告に対する被監査部門の改善実施状況を確認する。 |
| ウ | 改善勧告に対する被監査部門の改善実施プロジェクトの管理を行う。 |
| エ | 改善勧告の内容を被監査部門に示した上で改善実施計画を策定する。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年秋期 問58
システム運用業務のオペレーション管理に関する監査で判明した状況のうち，指摘事項として監査報告書に記載すべきものはどれか。
| ア | 運用責任者が，オペレータの作成したオペレーション記録を確認している。 |
|---|---|
| イ | 運用責任者が，期間を定めてオペレーション記録を保管している。 |
| ウ | オペレータが，オペレーション中に起きた例外処理を記録している。 |
| エ | オペレータが，日次の運用計画を決定し，自ら承認している。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年秋期 問59
システム監査人が実施するヒアリングに関する記述のうち，最も適切なものはどれか。
| ア | 監査業務を経験したことのある被監査部門の管理者をヒアリングの対象者として選ぶ。 |
|---|---|
| イ | ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。 |
| ウ | ヒアリングの中で気が付いた不備事項について，その場で被監査部門に改善を指示する。 |
| エ | 複数人でヒアリングを行うと記録内容に相違が出ることがあるので，1人のシステム監査人が行う。 |
平成29年7月修了 問59
システム監査人が負う責任はどれか。
| ア | 監査結果の外部への開示 |
|---|---|
| イ | 監査対象システムの管理 |
| ウ | 監査報告会で指摘した問題点の改善 |
| エ | 監査報告書に記載した監査意見 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年7月修了 問60
| ア | バージョン管理システムに登録したソースコードの変更結果を責任者が承認していること |
|---|---|
| イ | バージョン管理システムのアクセスコントロールの設定が適切であること |
| ウ | バージョン管理システムの導入コストが適正な水準にあること |
| エ | バージョン管理システムを開発部門が選定していること |
平成29年6月修了 問60
| ア | スプレッドシートの作成者と利用者が同一であること |
|---|---|
| イ | スプレッドシートのバックアップが行われていること |
| ウ | スプレッドシートのプログラムの内容が文書化され検証されていること |
| エ | スプレッドシートの利用者が定められていること |
平成29年春期 問58
システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。
| ア | 監査依頼者に監査報告書を提出する前に，被監査部門に監査報告を行うため |
|---|---|
| イ | 監査報告書に記載する改善勧告について，被監査部門の責任者の承認を受けるため |
| ウ | 監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため |
| エ | 監査報告書の記載内容に関して調査が不足している事項を被監査部門に口頭で確認することによって，不足事項の追加調査に代えるため |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成29年春期 問60
システム監査の実施体制に関する記述のうち，適切なものはどれか。
| ア | 監査依頼者が監査報告に基づく改善指示を行えるように，システム監査人は監査結果を監査依頼者に報告する。 |
|---|---|
| イ | 業務監査の一部として情報システムの監査を行う場合には，利用部門のメンバによる監査チームを編成して行う。 |
| ウ | システム監査人が他の専門家の支援を受ける場合には，支援の範囲・方法，及び監査結果の判断は，他の専門家の責任において行う。 |
| エ | 情報システム部門における開発状況の監査を行う場合には，開発内容を熟知した情報システム部門のメンバによる監査チームを編成して行う。 |
平成29年1月修了 問58
| ア | 経営企画部が行っている中期経営計画の策定の経緯 |
|---|---|
| イ | 人事部が行っている従業員の人事考課の結果 |
| ウ | 製造部が行っている不良品削減のための生産設備の見直しの状況 |
| エ | 販売部が行っているデータベースの入力・更新における正確性確保の方法 |
平成29年1月修了 問59
監査において発見した問題に対するシステム監査人の責任として，適切なものはどれか。
| ア | 発見した問題を改善するための予算を確保する。 |
|---|---|
| イ | 発見した問題を監査依頼者に報告する。 |
| ウ | 発見した問題を被監査部門に是正するよう命じる。 |
| エ | 発見した問題を自ら是正する。 |
平成28年12月修了 問60
| ア | システム設計書に基づき，プログラム仕様書を作成していること |
|---|---|
| イ | システムテスト要件に基づいてテスト計画を作成し，システム運用部門の責任者の承認を得ていること |
| ウ | プログラミングは定められた標準に従っていること |
| エ | 利用部門が参画して，システム設計書のレビューを行っていること |
平成28年7月修了 問58
| ア | ヒアリングの結果，調査対象の現状に問題があると判断した場合は，その調査対象のあるべき姿について被監査部門の専門的な相談に応じる。 |
|---|---|
| イ | ヒアリングの結果，問題と思われる事項を発見した場合は，その裏付けとなる記録の入手や現場確認を行う。 |
| ウ | ヒアリングを行っている際に，被監査部門との間で見解の相違が生じた場合は，相手が納得するまで十分に議論を行う。 |
| エ | 被監査部門のヒアリング対象者が複数の場合は，職制上の上位者から集中的に話を聞く。 |
平成28年6月修了 問59
システム監査で実施するヒアリングに関する記述のうち，適切なものはどれか。
| ア | 監査対象業務に精通した被監査部門の管理者の中からヒアリングの対象者を選ぶ。 |
|---|---|
| イ | ヒアリングで被監査部門から得た情報を裏付けるための文書や記録を入手するよう努める。 |
| ウ | ヒアリングの中で気が付いた不備事項について，その場で被監査部門に改善を指示する。 |
| エ | 複数人でヒアリングを行うと記録内容に相違が出ることがあるので，1人のシステム監査人が行う。 |
平成28年春期 問60
| ア | 自社の強み・弱み，自社を取り巻く機会・脅威を整理し，新たな経営戦略・事業分野を設定する。 |
|---|---|
| イ | システム運用部門によるテストによって，社内ネットワーク環境の脆弱性を知り，ネットワーク環境を整備する。 |
| ウ | 情報システムにまつわるリスクに対するコントロールの整備・運用状況を評価し，改善につなげることによって，ITガバナンスの実現に寄与する。 |
| エ | ソフトウェア開発の生産性のレベルを客観的に知り，開発組織の能力を向上させるために，より高い生産性レベルを目指して取り組む。 |
平成28年春期 問61
| ア | キャパシティプランニングの手続を定めていること |
|---|---|
| イ | データベース管理者が任命され，マスタデータの管理手続を定めていること |
| ウ | ハードウェア管理台帳を作成し，システム管理者が管理していること |
| エ | 本稼働前にシステムの動作確認を十分に実施していること |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成28年1月修了 問59
| ア | 委託先から定期的に受領している業務報告及びその検証結果を示している資料 |
|---|---|
| イ | 成果物の検収方法を明確にしている資料 |
| ウ | ソフトウェアの第三者への預託を行っていることを示している資料 |
| エ | データや資料などの回収と廃棄の方法を明確にしている資料 |
平成27年12月修了 問58
システム監査人の役割に関する記述のうち，適切なものはどれか。
| ア | 監査対象から独立し，かつ，専門的な立場で，情報システムのコントロールの整備・運用に対する保証又は助言を行う。 |
|---|---|
| イ | 仕様書どおりの処理が行われるかどうか，テストを行い，リリースを承認する。 |
| ウ | 情報システムの性能を評価し，システムの利用者に監査調書を報告する。 |
| エ | 情報システムの総合テストで発見された不具合の改善を，テスト担当者に指示する。 |
平成27年7月修了 問60
| ア | プログラマは，プログラム設計書に基づいてプログラミングを行っている。 |
|---|---|
| イ | プログラマは，プログラムの全てのロジックパスの中から，サンプリングで単体テスト項目を設定している。 |
| ウ | プログラミングチームのリーダは，単体テストの実施結果を記録し保管している。 |
| エ | プログラムを作成したプログラマ以外の第三者が，単体テストを行っている。 |
平成27年春期 問61
システム監査人が監査報告書に記載する事項のうち，監査人の業務範囲を逸脱するものはどれか。
| ア | 改善の勧告 |
|---|---|
| イ | 改善の緊急性の判断 |
| ウ | 改善の指摘 |
| エ | 改善の命令 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成26年7月修了 問58
新システムへの移行に関するシステム監査で確認した状況のうち，指摘事項に該当するものはどれか。
| ア | 移行作業と併せて，システム運用部門及びシステム利用部門に対する新システムの操作教育を計画し，実施していた。 |
|---|---|
| イ | 移行対象，移行方法，移行実施体制及び移行スケジュールを明記した移行計画に従って，移行作業を行っていた。 |
| ウ | 移行ツールを利用して，データベースの移行及びその移行結果の検証を行っていた。 |
| エ | システム開発部門内に検証体制を作って移行結果の検証を行い，移行完了としていた。 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成25年春期 問60
| ア | 自社の公開Webサイトに当該情報を載せ，取引先に電子メールでそのページのURLを伝えていること |
|---|---|
| イ | 当該情報を記載した添付ファイルにパスワードを設定して，取引先に電子メールを送り，電子メールとは別の手段でパスワードを伝えていること |
| ウ | 当該情報を記載した添付ファイルにパスワードを設定して，パスワードを本文に記載した電子メールを取引先に送っていること |
| エ | 取引先に送る電子メールの本文に，当該情報を記載していること |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成25年1月修了 問62
システム監査人の役割に関する記述のうち，適切なものはどれか。
| ア | 監査対象から独立かつ専門的な立場から情報システムのコントロールの整備・運用に対する保証又は助言を行う。 |
|---|---|
| イ | 計画されたとおりの処理が行われるかどうか，テストを行い，リリースを承認する。 |
| ウ | 情報システムの性能を評価し，システムの利用者に監査調書を報告する。 |
| エ | 情報システムの総合テストで発見された不具合の改善を，テスト担当者に指示する。 |
平成24年1月修了 問61
| ア | 個別計画書を作成するために行う予備的な調査である。 |
|---|---|
| イ | 本調査に先立って，監査対象業務の実態を把握するために行う調査である。 |
| ウ | 本調査に先立って，被監査部門と監査計画を調整するために行う調査である。 |
| エ | 本調査を補完する目的で，本調査と並行して行う調査である。 |
平成24年1月修了 問62
| ア | 監査業務の全過程において，監査人が収集及び作成した資料である。 |
|---|---|
| イ | 監査対象システムの入力から出力に至る過程を追跡できる一連の仕組みと記録である。 |
| ウ | 監査人が監査証拠を入手するために実施する監査技術の組合せである。 |
| エ | 監査人が監査手続を実施して収集した資料，及び監査人の判断に基づいて評価された資料である。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成23年12月修了 問62
データベースのインテグリティの維持に関する監査ポイントはどれか。
| ア | データベースのデータに不具合が発生した場合の障害回復手段が組み込まれているかどうか。 |
|---|---|
| イ | データベースの利用効率が適切であるかどうか。 |
| ウ | データ領域の使用中領域と拡張用領域のバランスが適切であるかどうか。 |
| エ | 利用者の要求に応じたレスポンスタイムが確保できているかどうか。 |
平成23年7月修了 問60
システム監査の実施手順のうち，適切なものはどれか。
| ア | 監査対象業務の把握 → 監査手続書の作成 → 監査目的の設定 → 証拠の収集 → コントロールの評価・結論 |
|---|---|
| イ | 監査対象業務の把握 → 証拠の収集 → 監査目的の設定 → 監査手続書の作成 → コントロールの評価・結論 |
| ウ | 監査手続書の作成 → 監査目的の設定 → 監査対象業務の把握 → 証拠の収集 → コントロールの評価・結論 |
| エ | 監査目的の設定 → 監査対象業務の把握 → 監査手続書の作成 → 証拠の収集 → コントロールの評価・結論 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成23年7月修了 問61
情報戦略についてのシステム監査を行う場合，優先して監査すべき事項はどれか。
| ア | 経営戦略との整合性を考慮しているか。 |
|---|---|
| イ | 現行の情報戦略を反映しているか。 |
| ウ | 最新の情報技術を取り入れているか。 |
| エ | 情報戦略実現のための解決目標を設定している。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成23年6月修了 問61
| ア | CPUの性能評価レポート |
|---|---|
| イ | アクセスログ |
| ウ | 計算チェックプログラムの単体テストの結果報告書 |
| エ | 故障件数，故障率及び故障時間について分析した報告書 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成23年1月修了 問60
| ア | 被監査部門の改善活動が計画どおりに行われるよう，改善実施プロジェクトの進捗管理を行う。 |
|---|---|
| イ | 被監査部門の改善活動状況について，計画どおりに行われているかどうかを定期的に確認する。 |
| ウ | 被監査部門の改善活動に関してその効果を測定し，結果を被監査部門の長に報告する。 |
| エ | 被監査部門の改善活動を技術的に支援する。 |
平成23年1月修了 問61
“情報セキュリティ監査基準” に基づく監査の対象に関する記述のうち，適切なものはどれか。
| ア | 監査対象は情報資産であるが，コンピュータを導入していない部署では，情報セキュリティ監査は不要である。 |
|---|---|
| イ | 監査対象は情報資産なので，コンピュータを導入していない部署でも，情報セキュリティ監査は必要である。 |
| ウ | 監査対象は情報システムであるが，コンピュータを導入していない部署でも，情報セキュリティ監査は必要である。 |
| エ | 監査対象は情報システムなので，コンピュータを導入していない部署では，情報セキュリティ監査は不要である。 |
平成22年秋期 問60
ユーザ受入れテストの監査において，指摘事項に該当するものはどれか。
| ア | システム部門だけでテストを行い，テスト結果をその責任者が承認した。 |
|---|---|
| イ | 当該業務に精通したユーザが参画してテストを行った。 |
| ウ | ユーザ受入れテストの実施環境は本番環境と隔離させた。 |
| エ | ユーザ要求をすべてテスト対象としたテストケースを設定した。 |
答え ： ア
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成22年7月修了 問61
| ア | 障害原因と障害発生時の停止時間の記載の有無の確認 |
|---|---|
| イ | 障害報告書の承認体制と承認状況の確認 |
| ウ | 前期及び当期の回復許容時間の予測値の比較 |
| エ | 前期及び当期の障害原因別の障害発生件数と停止時間の比較 |
答え ： エ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成22年7月修了 問62
| ア | 監査証拠の評価 |
|---|---|
| イ | 監査対象の実態把握 |
| ウ | 監査目的の設定 |
| エ | 監査計画書の作成 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成22年1月修了 問59
“システム監査基準” が果たす役割はどれか。
| ア | 監査上の判断尺度 |
|---|---|
| イ | 監査手続書作成のチェックリスト |
| ウ | 監査人の行為規範 |
| エ | システムの品質管理ガイドライン |
答え ： ウ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成21年7月修了 問59
| ア | 監査後一定期間問題が発生しないことに責任を負う。 |
|---|---|
| イ | 監査報告書の記載事項に責任を負う。 |
| ウ | 指摘事項の改善に責任を負う。 |
| エ | 指摘した問題点の原因究明に責任を負う。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成21年7月修了 問60
システム監査人はシステム監査報告書をだれに提出しなければならないか。
| ア | 監査対象プロジェクトの責任者 |
|---|---|
| イ | 監査の依頼者 |
| ウ | システム利用部門の長 |
| エ | 情報システム部門の長 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
平成21年6月修了 問51
システム監査を受ける際のプロジェクトマネージャの姿勢として，適切なものはどれか。
| ア | システム監査人が同じ企業組織体のメンバの場合，独立性が保てないので，プロジェクトマネージャはその監査人の変更を求める。 |
|---|---|
| イ | システム監査では，情報システムの問題対処の判断について評価や助言をしてくれるので，検討内容，決定手続などの情報をきちんと整理しておく。 |
| ウ | システム監査は，情報システムの信頼性，安全性を高めることを目的としているので，コストパフォーマンスについては対象外である旨を説明する。 |
| エ | プロジェクトマネージャは，情報システムに関して自ら評価し，システム監査での評価と異なる場合には，自らの評価を採用する。 |
答え ： イ
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
分野 ： マネジメント系 › サービスマネジメント › システム監査 › システム監査
共有ボタンをタップ