基本情報技術者 2016年 春期 午前（科目A） 問59
問題文
アクセス制御を監査するシステム監査人が採った行動のうち、適切なものはどれか。
選択肢
ア：ソフトウェアに関するアクセス制御の管理表の作成と保管
イ：データに関するアクセス制御の管理状況の確認（正解）
ウ：ネットワークに関するアクセス制御の管理方針の制定
エ：ハードウェアに関するアクセス制御の運用管理の実施
🔒 解説は解答すると表示されます
アクセス制御監査の範囲【午前解説】
正解の理由
監査人の役割は、組織のアクセス制御が適切に設計され、実行されているかを独立の立場で確認・評価することです。選択肢イ「データに関するアクセス制御の管理状況の確認」は、監査人が行うべき「確認・検証」に該当します。監査は方針や管理表の作成、方針の制定、日常の運用管理といったマネジメントや実行（管理者の業務）を代行するものではありません。よって監査人に適切なのは選択肢イです。
解法ステップ
- 問題文での主体を明確にする：「システム監査人（監査人）」であることを確認する。
- 監査人の職務を思い出す：「確認・検証・評価・報告」が仕事であり、「作成・制定・運用管理」は管理者の仕事。
- 各選択肢を職務に照らして当てはめる：監査に該当する行為を選ぶ。
- 実効性や証拠（ログ、設定、レビュー記録など）を検証する行為が含まれる選択肢を選ぶ。
選択肢別の誤答解説
- ア: ソフトウェアに関するアクセス制御の管理表の作成と保管
- 誤り。管理表の作成・保管は運用者（管理者）の責任であり、監査人はその整備状況や妥当性を検証する立場です。
- イ: データに関するアクセス制御の管理状況の確認
- 正解。監査人はデータへのアクセス権限が適切に設定・運用されているかを確認し、証拠を基に評価します。
- ウ: ネットワークに関するアクセス制御の管理方針の制定
- 誤り。方針の制定は経営層やセキュリティ管理者の役割であり、監査人はその妥当性や遵守状況を評価するだけです。
- エ: ハードウェアに関するアクセス制御の運用管理の実施
- 誤り。実際の運用管理は管理者の業務であり、監査人が実施すると独立性と客観性が失われます。
よくある誤解
- 監査人が方針や管理資料を作成・保管する責任があると誤解する点。作成は管理側（オーナー/管理者）の役目で、監査人はその内容を評価します。
- 監査は単に書類確認だけだと考える誤解。実務では設定やログ、権限の実体確認（サンプル検査）など実効性の検証が重要です。
- 監査が運用管理を行ってよいと誤信する点。監査が運用に介入すると独立性が損なわれます。
補足コラム
監査人がアクセス制御を評価する際の典型的手法には、ドキュメントレビュー、サンプリングによる権限確認、アクセスログの分析、設定の実地確認（例えばアカウントの有効/無効や最小権限の適用確認）などがあります。また、監査証拠の評価には「妥当性（適切性）」と「十分性（十分な証拠量）」が求められ、結果に基づき所見・改善要求を報告書で示します。監査の独立性と客観性を維持するため、監査人は運用業務には関与しません。
FAQ
Q1: 監査人は改善指示まで行えますか？
A1: 監査人は所見や改善提案を報告できますが、実際の是正策の実施は管理側の責任です。監査人はフォローアップで実施状況を確認します。
A1: 監査人は所見や改善提案を報告できますが、実際の是正策の実施は管理側の責任です。監査人はフォローアップで実施状況を確認します。
Q2: ログ解析も監査人の仕事ですか？
A2: はい。アクセスログやイベントログの分析は、アクセス制御の実効性を検証する重要な監査手法です。
A2: はい。アクセスログやイベントログの分析は、アクセス制御の実効性を検証する重要な監査手法です。
Q3: 監査は書類だけ見れば良いですか？
A3: 書類は重要な証拠ですが、設定やログの確認、実際のアクセス権限のサンプリングなど実態確認も必要です。
A3: 書類は重要な証拠ですが、設定やログの確認、実際のアクセス権限のサンプリングなど実態確認も必要です。
関連キーワード: アクセス制御、システム監査、監査人、情報セキュリティ、アクセスログ、権限管理、監査証拠、内部統制
\ せっかくなら /
基本情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！