基本情報技術者 2013年 秋期 午前（科目A） 問59

要点まとめ

• 結論：監査人はアクセス制御の「作成・運用」を行う者ではなく、管理状況や適合性を独立して確認し報告する役割を担います。
• 根拠：監査の本質は独立性に基づく証拠収集と評価であり、方針策定や運用は経営・管理側の職務です。
• 差がつくポイント：選択肢が「確認（検証）」か「作成・運用（実行）」かを明確に見極め、職務範囲に合う行為を選ぶこと。

正解の理由

よくある誤解

• 監査人が改善策を「実行」してもよい：提言や助言は可能でも、実際の設定変更や運用実施は管理側が行い、監査人は独立性を失わないようにします。
• 文書確認＝監査完結と考える：文書は重要だが、実際の運用状況（ログやアクセス履歴、承認記録など）との突合も必要です。
• 方針の制定は監査の仕事だと誤解する：方針は管理側が策定するものであり、監査はその適合性を評価する立場です。

解法ステップ

1. 問題文から役割を確認：システム監査人＝監査人（独立して検証・評価する人）であると認識する。
2. 各選択肢を「検証（監査）」か「実施／作成（管理）」かに分類する。
3. 監査人の職務範囲に合う「確認／評価」に該当する選択肢を選ぶ。
4. 選択肢が複数該当しそうなら「独立性を損なう行為」かを基準に除外する。

選択肢別の誤答解説

• ア: ソフトウェアに関するアクセス制御の管理表の作成と保管
  • 誤り。管理表の作成や保管は運用・管理の実務であり、監査人が実行すべきではありません。監査人はその管理表の存在・正確性・運用を確認する立場です。
• イ: データに関するアクセス制御の管理状況の確認
  • 正解。これは監査人が行うべき検証・評価活動であり、独立して証拠を収集して適合性を判断します。
• ウ: ネットワークに関するアクセス制御の管理方針の制定
  • 誤り。方針の策定は経営・管理層の責務であり、監査人はその方針の妥当性や実施状況を評価する役割です。
• エ: ハードウェアに関するアクセス制御の運用管理の実施
  • 誤り。運用管理の実施は実務担当者の仕事で、監査人が直接実行すると独立性が損なわれます。

補足コラム

FAQ