応用情報技術者 2009年 春期 午後 問12

解答の論理構成

1. 監査の独立性
   • 監査人は、被監査部門から独立していなければなりません。
   • 本文には「“システム部のY部長”は、販売システムのDB管理者である“システム部のZ君”を、技術担当として監査チームメンバに任命した。」とあります。
   • “システム部”は【表　販売システム監査計画】の「[監査対象部署]・業務部、システム部」に示される被監査部門です。
   • よって、被監査部門の長である“Y部長”が自部門の“Z君”を監査チームに入れた行為は、監査人の独立性を損ないます。
2. 監査手続の正当性
   • 正当な監査手続では、監査対象部署に対して必要な事前連絡・同意を得たうえで監査を実施します。
   • 本文には「“Z君”は、監査に備えて特別な行動をされることを回避するために、業務部に事前に申し入れずにDB監査ツールを導入した。」と明記されています。
   • “業務部”も【表　販売システム監査計画】の監査対象部署です。対象部署に無断で監査ツールを設置した行為は、手続の正当性を欠きます。

誤りやすいポイント

• 「Z君が監査チームに入ったこと」そのものを独立性の欠如と判断し、行為者を“Z君”と書いてしまう。独立性を損ねたのは任命した“Y部長”です。
• DB監査ツールをひそかに導入した理由（証跡隠蔽の防止）に目を奪われて正当性を問題視しない。目的が正当でも手続が不適切ならアウトです。
• 個人情報保護法やJ-SOXと聞いてパスワード管理などの運用面に着目し過ぎ、設問が求める“行動”を具体的に書けない。

FAQ

解答の論理構成

1. フェーズの定義を確認
   • 【問題文】では〔監査日程〕として
     ① 予備調査、② 本調査、③ 評価・結論 が明示されています。
   • この流れに沿い、各フェーズで実施すべき作業を整理します。
2. 予備調査（①）に該当する作業を選定
   • 予備調査では、監査対象や手続を把握・計画することが中心です。
   • 解答群「エ：監査手続の内容、時期、範囲などについて、計画を立案した」は計画策定そのものですが、さらに詳細に対象システムの仕様を読み込む作業が含まれるのが通常です。
   • 解答群「オ：販売システム設計書を読み、アクセスコントロール機能の内容を把握した」は、設計書レビューを通じた事前把握であり、予備調査の典型的な手続に合致します。
     → ①は「オ」。
3. 本調査（②）に該当する作業を選定
   • 本調査では、実データの取得・検証・証跡の採取を行います。
   • 解答群「ア：DB監査ツールで取得したアクセスログやレポートから、アクセスコントロールの存在を確認し、証跡を採取した」はログ解析という実査そのものです。
     → ②は「ア」。
4. 評価・結論（③）に該当する作業を選定
   • 評価・結論フェーズでは、収集した証跡を基に問題点を整理し、報告書にまとめます。
   • 解答群「イ：監査実行中に問題ありと判断した事項を、指摘事項として監査報告書に記載し、報告した」がこれに該当します。
     → ③は「イ」。
5. 残りの解答群との整合
   • 「エ」は①に近いが設計書を読んでいないため除外。
   • 「ウ：改善計画どおりに行われているかどうかを定期的に確認した」はフォローアップ監査であり、今回の日程外フェーズです。

誤りやすいポイント

FAQ

解答の論理構成

• 【問題文】には「DB監査ツールの情報取得方式は、…DBサーバに本番環境LAN経由で送られてくるパケットを監視してアクセス情報を記録する」とあります。この方式で監視対象になっているのは「DBサーバ」です。
• さらに「この方式は、これまでのDBMSの機能を利用した方式と比較すると、ログ取得の際にaサーバへの負荷が発生せず、稼働中のaサーバに手を加える必要がない」と続きます。
• ログ取得の処理負荷が掛からないサーバとは、従来 DBMS の標準ログを動かしていた「DBサーバ」を指します。
• 以上より、a に入るのは図中・本文で一貫して用いられている名称「DB」です。

誤りやすいポイント

• パケット監視＝ネットワーク装置と誤解し、「Webサーバ」や「業務サーバ」と記入してしまう。
• 本文に「DBサーバ」とあるため「DBサーバ」と解答してしまうが、空欄には“サーバ”が既に付いているので「DB」が正しい。
• 「ファイアウォール」や「本番環境LAN」を空欄候補に考えてしまい、負荷が掛かる対象を取り違える。

FAQ

解答の論理構成

1. 監査ツールの取得対象は「DBサーバに本番環境LAN経由で送られてくるパケット」だけ
   ─ 【問題文】「DB監査サーバを設置し、DBサーバに本番環境LAN経由で送られてくるパケットを監視してアクセス情報を記録する」と明記されています。
2. したがって、本番環境LANを通らない通信はログに残らない
   ─ ツールはパケットを“盗み見る”方式なので、監視ポイントを通過しない経路のデータは取得できません。
3. DB管理者は「管理 PCから業務 DB の保守ができる」
   ─ 【問題文】「システム部の DB 管理者は、管理 PCから業務 DB の保守ができる」とあります。
4. 図より、管理 PC は運用管理LAN側に接続されており、本番環境LANとは別ネットワーク
   ─ つまり管理 PC → 業務 DB への通信は監査ツールの監視ポイントを経由しません。
5. よって、ツールでは「管理PCから業務DBへのアクセス情報」を取得できない、という結論になります。

誤りやすいポイント

• Webサーバや業務サーバ経由のアクセスはすべて監視できると誤認し、LANの分割構成を見落とす。
• 「DBMSの機能を利用した方式」＝アプリケーションログと混同し、物理的パケット監視の制約を忘れる。
• 管理 PC も“DBサーバに接続するのだから本番環境LANを使う”と早合点し、図上の運用管理LANを読み飛ばす。

FAQ

解答の論理構成

誤りやすいポイント

• 「登録、変更及び削除」を網羅するために“登録”や“変更”の記録だけを選んでしまう
  → 削除漏れが内部統制上もっとも重大。必ず“削除”ログを押さえる。
• パスワードポリシを“有効期限設定”と混同し、累計アクセス時間（イ）を選ぶ誤答
• 「特別な権限＝管理者」と早合点し、DB管理者作業（ア）を選んでしまう

FAQ