基本情報技術者 2019年 秋期 午前（科目A） 問60

要点まとめ

• 結論：監査人の適切な行為は、運用や作成・制定など「実行業務」を行わず、文書や記録を閲覧して独立に照査することです。
• 根拠：監査人は独立性と客観性を保持して証拠を収集・評価し、規程閲覧やログ確認、ヒアリングなどで適合性・有効性を判断します。
• 差がつくポイント：選択肢で「作る・制定する・実施する」は業務執行側、「閲覧・確認する」は監査側に該当する点を明確に区別できるかが鍵です。

正解の理由

よくある誤解

• 「監査人が改善案を作る＝監査業務」：監査人は改善提案は可能ですが、実際の作成・実施は運用側の業務であり、監査人が手を動かすべきではありません。
• 「閲覧＝それだけで十分」：規程の閲覧は必要十分条件の一部であり、ログやインタビュー、現地観察などで裏取り（実効性の確認）を行う必要があります。
• 「方針と規程・手続の区別を無視」：方針（policy）は上位概念、規程（regulation/standard）は運用に落とすための文書、手続（procedure）は具体的実施方法です。監査の対象と役割を混同しやすい点に注意。

解法ステップ

1. 問題文の主語と立場を確認：監査人（システム監査人、独立・客観的評価者）。
2. 各選択肢の動詞に注目：「作成・保管」「閲覧」「制定」「実施」が示す行為を分類する。
3. 監査人の職務（評価・照査）に合致する行為を選ぶ。監査人が行ってはならない実務（作成・制定・実施）は除外。
4. 余力があれば「なぜ閲覧だけでは不十分か」「どの証拠が補強になるか」を短く確認して正答を確定。

選択肢別の誤答解説

• ア: ソフトウェアに関するアクセス制御の管理台帳を作成し、保管した。
  → 誤り。台帳の作成・保管は運用側（管理者）の業務であり、監査人が実行すると独立性・客観性が失われます。
• イ: データに関するアクセス制御の管理規程を閲覧した。
  → 正解。規程の閲覧・評価は監査人が行う典型的な証拠収集行為であり、独立した照査に該当します。
• ウ: ネットワークに関するアクセス制御の管理方針を制定した。
  → 誤り。方針の制定は経営や情報セキュリティ管理責任者の役割で、監査人の職務ではありません。
• エ: ハードウェアに関するアクセス制御の運用手続を実施した。
  → 誤り。運用手続の実施は運用担当者の職務であり、監査人が実施すると監査の独立性が損なわれます。

補足コラム

FAQ