情報セキュリティマネジメント試験過去問 - 分野別(科目A) - システム監査

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
この問題は，「監査人が指摘事項として報告書に書くべきもの」，つまり「問題のある内容」を選ぶ点に注意が必要です。最も不適切な内容が正解になります。

「ア」は，情報セキュリティ違反の「可能性」を認識したら，直ちに懲戒手続を始める，という規程です。まだ違反が確定していない段階で処分手続に入るのは，無実の人に不利益を与えるおそれがあり，不適切です。事実関係を確認してから手続に進むべきです。これが正解です。

「イ」は，業務への影響度や教育の実施状況などを考慮し，段階的に対応する，という内容で，状況に応じた適切な対応です。

「ウ」は，恣意性を排除し，公平に扱う，という内容で，懲戒の基本原則に沿っています。

「エ」は，細則を作り，従業員に周知徹底する，という内容で，ルールを実効性のあるものにするために必要な事項です。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
「情報セキュリティ管理基準」（平成28年改正版）は，組織が情報セキュリティ対策を進める際の「ものさし」となる基準で，経済産業省が公表しています。これは，情報セキュリティ監査を行うときに監査人が判断の基準にするものでもあります。正解は「イ」です。

この基準は，国際規格である「JIS Q 27001:2014」（要求事項）および「JIS Q 27002:2014」（管理策の実践規範）と整合するように作られています。国際的な考え方に合わせておくことで，ISMS（情報セキュリティマネジメントシステム）の認証を目指す組織も活用しやすくなります。

「ア」について，この基準は「マネジメント基準」と「管理策基準」の二つで構成されており，「ガバナンス基準」はありません。

「ウ」について，管理策基準に挙げられた管理策は，あくまで組織が自分のリスクに合わせて対策を決めるときの参考となるもので，その中だけから選ぶと限定されているわけではありません。

「エ」について，マネジメント基準は，トップマネジメントを含む組織が情報セキュリティマネジメントを運営するために実施すべき事項をまとめたもので，都合のよい事項だけを選んで実施するものではありません。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
監査報告書に指摘事項として書くのは，望ましい状態になっていない点，つまり問題点や改善が必要な点です。うまくできている点は，指摘ではなく確認結果として扱われます。

インシデントは，種類や発生箇所，影響の大きさによって，誰にどれくらい急いで報告すべきかが変わります。ところが「ウ」では，どんなインシデントでも連絡・報告ルートが共通になっています。これでは，重大なインシデントが担当者の一般的な報告の流れに埋もれ，経営層などへの報告が遅れるおそれがあります。そのため，指摘事項に当たります。

「ア」は，インシデント対応手順が作成され，関係者へ周知されている状態で，適切に整備されているため問題ありません。

「イ」は，被害を最小限にするために，規程に従ってバックアップを取っており，これも適切な運用です。

「エ」は，全てのインシデントについて記録を残し，責任者の承認を得ることが定められている状態で，管理が行き届いているといえます。むしろ望ましい対応であり，指摘する必要はありません。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
「ウォークスルー法」とは，システム監査の技法の一つで，データが生成され，入力され，処理され，出力され，活用されるまでの流れと，組み込まれているコントロールを，書面上で，または実際に順番にたどって確認する方法です。まさに「歩いて通り抜ける」ように追跡することから，この名前が付いています。したがって「イ」が正解です。

「ア」の「インタビュー法」は，関係者に質問して状況や考えを聴き取る方法です。

「ウ」の「監査モジュール法」は，本番のシステムに監査用のプログラムを組み込んで，処理の状況を監査する方法です。

「エ」の「ペネトレーションテスト法」は，実際に攻撃を試みて侵入できるかを確かめる方法で，システムの脆弱性を調べる技法です。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査人は，被監査部門から独立した立場で，客観的に評価する人です。そのため，評価の対象となる仕組みを自分で作ったり運用したりしてはなりません。「イ」は，データに関するアクセス制御の管理規程を閲覧する行為で，監査証拠を集める監査人の行為として適切です。これが正解です。

「ア」のアクセス制御の管理台帳を作成し保管する行為は，管理側の業務です。

「ウ」のアクセス制御の管理方針を制定する行為は，経営層や管理者が行うことです。

「エ」のアクセス制御の運用手続を実施する行為は，運用部門の業務です。

これらを監査人が行うと，自分が作ったり実行したりしたものを，自分で評価することになり，独立性が損なわれます。監査人は，評価や助言をする立場だと整理しましょう。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査人の独立性には，精神的に偏りのない「精神上の独立性」と，他の部門からの影響を受けない立場にあることが見た目にも分かる「外観上の独立性」があります。

外観上の独立性を保つには，監査人の所属部署を，監査対象の部門から切り離した内部監査部門などにすることが有効です。自分の所属部署を自分で監査したら，周りから公正だと思われにくいからです。正解は「エ」です。

「ア」の継続的学習の義務付け，「イ」の必要な知識や経験の公表，「ウ」の監査技法の研修制度は，監査人の能力や専門性を高める措置です。能力の向上は大切ですが，独立性の確保とは別の話です。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
JIS Q 27001の附属書Aでは，システムの開発において，開発の期間中にセキュリティ機能の試験を実施することが求められています。

開発が終わってから試験をすると，問題が見つかったときに大きな手戻りが発生し，見逃されるおそれもあります。したがって，開発期間が終わってから試験をしている「ア」が，指摘事項として報告すべき不備です。

「イ」は，セキュリティを考慮した開発環境で行っているので，望ましい状況です。

「ウ」は，外部委託先の開発を監督，監視する際に，セキュリティの観点を考慮しているので，適切です。

「エ」は，パッケージソフトの変更を必要最小限に抑えており，これも管理策に沿った良い状況です。

監査では，基準（ここでは附属書Aの管理策）に照らして，実際の状況が合っているかを調べます。基準に合っていない状況が見つかれば，それが指摘事項になります。四つの選択肢のうち，三つは管理策を守れているよい状況で，一つだけが守れていない状況です。「問題がある選択肢はどれか」という視点で読むことが大切です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査報告書の指摘事項には，事実に基づく根拠が必要です。そのため，調査結果に事実誤認がないかを，あらかじめ監査対象部門に確認した上で，監査人が必要と判断した事項を記載します。正解は「ウ」です。

「ア」は，監査証拠による裏付けがない事項を記載するのは，客観性を欠くため不適切です。

「イ」は，監査対象部門の責任者の承認を条件にすると，都合の悪い指摘が消されるおそれがあり，監査人の独立性が損なわれます。承認ではなく事実確認をするのがポイントです。

「エ」は，不備の内容や重要性を考慮せずに全てを記載するのでは，本当に重要な指摘が埋もれてしまいます。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
情報セキュリティ監査には，対策が適切であると保証する「保証型」と，改善のための助言をする「助言型」があります。不特定多数の利害関係者の情報を扱うシステムでは，安全に管理されていることを外部に示す必要があるため，保証型の監査を定期的に実施して，その結果を開示することが有用です。正解は「エ」です。

「ア」は，保証型から始めて，保証が得られた後に助言型に切り替えなければならない，という決まりはありません。

「イ」は，二つの型は排他的ではなく，目的に応じて組み合わせることができます。

「ウ」は，どちらの型で実施するかは，監査人が一方的に決めるのではなく，監査を依頼した側のニーズも踏まえて決めます。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
ISMSの内部監査では，JIS Q 27001の要求事項どおりに運用されているかを確認し，守られていない点を指摘事項として報告します。JIS Q 27001では，リスク受容基準は，リスクアセスメントを実施する「前に」確立することが求められています。

「エ」は，リスクアセスメントを実施した後に受容基準を決めており，要求事項に反しているため，指摘事項として報告すべきです。これが正解です。

「ア」は，定められた手順に従ってUSBメモリの使用を許可していたので，問題ありません。

「イ」は，個人情報の誤廃棄事故を規定どおりに報告していたので，問題ありません。

「ウ」は，スパイウェアが検知され駆除されており，対策が機能している例です。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
外部委託の監査では，委託先の管理が適切に行われているかを確認します。「ア」は，請負契約において，委託側の事務所で作業する受託側の要員について，アクセス管理が妥当かどうかを委託側が監査できるようにしておくという内容で，適切です。

「イ」は，請負契約では，受託側の要員への指揮命令は受託側の責任者が行います。委託側が直接指揮すると，偽装請負（違法な状態）になるおそれがあります。

「ウ」は，委託して開発したシステムの品質管理状況は，委託側も監査の対象とします。

「エ」は，機密性が高いシステムを外部に委託していることだけを理由に，自社開発への切替えを勧告するのは適切ではなく，必要な管理策を求めるのが筋です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
電子署名の検証には，署名を生成した時点と，検証する時点の両方で，公開鍵証明書が有効期間内でなければなりません。有効期間は取得日から4年間です。「ウ」は，2015年4月1日に取得した証明書が2019年4月1日まで有効で，署名生成日（2015年5月1日）も検証日（2018年12月1日）もその期間内ですので，正解です。

「ア」は，2012年3月取得の証明書が2016年3月に期限切れとなり，検証日の2018年12月には失効しています。

「イ」は，2014年1月取得の証明書が2018年1月に切れており，検証日の2018年2月は期限後です。

「エ」は，署名生成日（2014年7月）が証明書の取得日（2016年8月）より前で，取得前の証明書では署名できません。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
JIS Q 27001では，組織は内部監査プログラムを計画し，確立し，実施し，維持しなければならず，その際には，対象となるプロセスの重要性と，前回までの監査の結果を考慮することが要求されています。そのため，「エ」が適切です。

「ア」は，監査員にISMS認証機関が認定する研修の修了者を含めなければならないとしていますが，そのような要求はありません。

「イ」は，監査責任者を代表取締役が任命しなければならないとしていますが，これも規定されていません。

「ウ」は，監査範囲を規格に規定された管理策に限定するとしていますが，監査は組織が定めた要求事項などにも基づいて行われるため誤りです。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
「監査証拠」とは，監査人が監査意見の根拠とするために集める，客観的な事実や資料のことです。システムの運用記録は，実際にどのように運用されているかを示す事実なので，被監査部門から入手した運用記録は，監査証拠になります。正解は「エ」です。

「ア」の監査意見を取りまとめるためのミーティングの議事録は，監査チーム内部の作業記録です。

「イ」の監査報告書に記載した指摘事項は，証拠を基に導き出した結論の側です。

「ウ」の個別監査計画書は，監査をどう進めるかを定めた計画の文書です。

いずれも監査人側が作成した資料であり，監査の対象となる事実を示すものではありません。証拠は，被監査部門の事実を表すものと覚えましょう。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査では，被監査部門は，監査部門からの依頼に協力する立場にあります。「イ」の監査部門から要求されたアンケートに回答して，監査の実施前に送付するのは，適切な協力の仕方です。これが正解です。

「ア」は，存在しない証憑を過去に遡って作成するとしていますが，これは証拠の偽造で，絶対にしてはいけません。

「ウ」は，被監査部門が監査項目を整理してチェックリストを作り，それに基づく監査を依頼するとしていますが，監査の項目や方法は監査部門が独立した立場で決めるべきなので不適切です。

「エ」は，被監査部門が自ら監査テーマを設定するとしていますが，これも監査の独立性を損ないます。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
「事業継続計画」（BCP）とは，災害や事故などが起きても，重要な事業を止めない，または早く再開するための計画です。「ア」の，従業員の緊急連絡先リストを作って最新の状態に保つのは，災害時に安否確認や連絡を取るために欠かせない準備で，適切です。これが正解です。

「イ」は，重要書類を複製せずに1か所に集めて保管するとしていますが，その場所が被災すると全て失うので，分散保管やバックアップが必要です。

「ウ」は，全ての業務に優先順位をつけずに同じ水準の計画を作るとしていますが，限られた資源を重要な業務に集中させるため，優先順位をつけるのが基本です。

「エ」は，平時にBCPを従業員に非公開とするとしていますが，周知や訓練をしておかないと，いざというときに使えません。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査の目的は，情報システムにまつわるリスクに対するコントロールが適切に整備，運用されているかを，独立した立場から評価し，改善につなげることです。これにより，ITガバナンスの実現に寄与します。したがって「ウ」が正解です。

「ア」は，強みや弱みを整理する経営戦略の分析（SWOT分析）の説明です。

「イ」は，運用部門自身が行う脆弱性のテストで，独立した監査ではありません。

「エ」は，開発組織の生産性や能力の向上を目指す取組みで，システム監査の目的とは異なります。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
「監査調書」とは，監査人が行った監査手続の内容や，集めた証拠，判断の過程を記録した書類です。監査意見の根拠となる記録であり，後で監査の妥当性を確認するときにも使われます。したがって「ア」が正解です。

「イ」の誓約書をまとめたものではありません。

「ウ」の基準書やガイドラインをまとめたものでもありません。

「エ」は，監査報告書とともに公表を義務付けられた書類でもありません。監査調書は，基本的に監査人の内部の記録です。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システムテストの監査では，システムが本番で正しく動くかを，十分な内容のテストで確認できているかが重要です。そのためには，正常なケースだけでなく，例外や異常な入力など，想定外のケースも含めてテストが行われていることを確認します。したがって正解は「エ」です。

「ア」は，テスト計画を利用者側の責任者だけで承認するのでは，開発側などの確認が抜けてしまうので不適切です。

「イ」は，実際に業務が行われている本番環境でテストをすると，業務に影響が出たり，データを壊したりするおそれがあるので不適切です。

「ウ」は，利用者側だけで行うのではなく，開発側も含めた体制で実施するほうが適切です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
システム監査人は，監査報告書をまとめる前に，原案の内容を被監査部門と確認します。この目的は，報告書に書く指摘事項や改善勧告に，事実の誤認がないことを確認するためです。誤った事実に基づく報告書だと，監査の信頼性が損なわれます。したがって正解は「ウ」です。

「ア」は，監査依頼者より先に被監査部門に報告するのが目的ではないので誤りです。

「イ」は，改善勧告は監査人が独立した立場で行うもので，被監査部門の責任者の承認を得る必要はありません。

「エ」は，調査が不足している点を口頭の確認だけで済ませるのは，証拠に基づく監査の原則に反するので不適切です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
監査報告書の指摘事項とは，問題があり，改善すべき状況のことです。「ウ」は，システム障害の種類や発生箇所，影響度合いに関係なく，共通の連絡・報告ルートを定めているというものです。小さな障害も深刻な障害も同じルートで報告すると，重大な障害の報告が遅れたり，担当者に適切に伝わらなかったりするおそれがあります。障害の影響度に応じた対応が必要なので，指摘事項に当たります。したがって正解は「ウ」です。

「ア」の障害対応マニュアルの作成と周知，「イ」の規程に従ったバックアップ，「エ」の全ての障害について記録して責任者の承認を得る定めは，いずれも適切な管理なので，指摘事項にはなりません。

答え ： エ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
JIS Q 27001に準拠してISMSを運用する場合の内部監査では，監査プログラムを計画するときに，対象となるプロセスの重要性や，前回までの監査の結果を考慮することが求められています。「エ」が正解です。

「ア」は，ISMS認証機関が認定する研修の修了者を含めるという要求はありません。

「イ」は，監査責任者を代表取締役が任命するという決まりはなく，監査の客観性と公平性が確保されていれば足ります。

「ウ」は，監査範囲を，規格に規定された管理策に限定する必要はありません。組織が決めた要求事項なども監査の対象になります。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
「BCP」（事業継続計画）とは，災害などが起きても重要な事業を続けるための計画です。従業員の緊急連絡先リストを最新に保っておけば，非常時に安否確認や招集を素早く行えるので，適切な状況です。「ア」が正解です。

「イ」の重要書類を複製せずに一か所で集中保管すると，その場所が被災したときにすべて失う恐れがあり，複製や分散保管が望ましいです。

「ウ」の全業務を優先順位なしに同一水準で策定すると，限られた資源を重要な業務に集中できません。

「エ」の平時にBCPを非公開にするのは，いざというときに従業員が行動できなくなるため，周知と訓練が必要です。

答え ： ウ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
「情報セキュリティ監査基準」は，監査人の行動規範となる基準です。情報セキュリティ監査では，判断の尺度として，原則として『情報セキュリティ管理基準』を用います。「ウ」が正解です。

「ア」は，監査基準が情報セキュリティマネジメントシステムの国際規格と同一内容で定められている，という記述が誤りです。

「イ」は，監査人は必要に応じて，他の専門家の支援を受けられます。

「エ」は，監査人には独立性が必要で，技術的専門性が高いことを理由に不要とすることはできません。

答え ： イ
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › システム監査の目的と手順
解説 ：
スプレッドシートは，計算式(ロジック)を自由に変更できる反面，誤った変更が気付かれにくいという危険があります。業務上必要だからと，ロジックを随時変更して上書き保存していると，変更の履歴や承認がなく，誤りや不正が混入するおそれがあるため，監査では指摘事項になります。「イ」が該当します。

「ア」の検算によるロジックの正確性確認は，適切な統制です。

「ウ」のパスワード設定とアクセス制御されたサーバへの保管，「エ」のルールに従ったバックアップも，適切な管理であり，指摘の対象にはなりません。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
「守秘義務」とは，業務で知った秘密を他人に漏らしてはいけない義務で，雇用が終わった後も続くべきものです。退職後に前の会社の情報を漏らされては困るからです。したがって，雇用の終了をもって守秘義務が解消されると定めている「ア」は，監査で指摘事項になります。

「イ」の勤務時間以外にも守秘義務を負うことは，秘密を守るために当然であり，適切です。

「ウ」の義務に違反した場合に相応の措置がとられることを定めるのは，抑止力になるため適切です。

「エ」の守秘義務契約書に署名することを定めるのも，適切な管理策です。

答え ： ア
分野 ： その他の分野 › サービスマネジメント › システム監査 › システム監査 › 情報セキュリティ監査
解説 ：
「情報セキュリティ監査基準」では，監査の対象は情報システムに限らず，情報資産全体です。情報資産には，コンピュータ上のデータだけでなく，紙の書類や，人が持っている知識なども含まれます。

したがって，コンピュータを導入していない部署でも，紙の書類などの情報資産を扱っているなら，監査を実施する必要があります。組合せとして適切なのは，情報資産で，監査が必要な「ア」です。

「イ」は，情報資産を対象にしながら不要としているため矛盾します。

「ウ」と「エ」は，対象を情報システムとしている点が誤りです。