情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問39

システム監査の目的【情報セキュリティマネジメント解説】

正解の理由

• 監査は「評価と改善のための判断」を行う活動です。
• 技術的な脆弱性検査や経営戦略立案、開発生産性向上は、それぞれ別の活動領域であり、監査の直接目的ではありません。

解法ステップ

1. 問題文で問われているのは「システム監査を実施する目的」だと確認する。
2. 各選択肢が「評価・監査」「検査・診断」「戦略立案」「生産性向上」のどれに当たるかを分類する。
3. 監査の定義（評価・独立性・改善提言）に合致する選択肢を選ぶ。
4. 該当するのは、コントロールの整備・運用状況を評価し、ITガバナンスに寄与する活動であることを確認して ウ を選ぶ。

選択肢別の誤答解説

• ア（経営戦略のための自社分析）：
  SWOT分析などによる経営戦略の設定は経営企画の仕事です。監査は戦略を直接作る活動ではなく、既存の統制や運用の妥当性を評価する点で異なります。
• イ（運用部門によるネットワークの脆弱性検査）：
  ネットワークの脆弱性診断（Vulnerability Assessment：弱点を発見するテスト）は技術的検査で、主に対処（修正）に向けた情報を得ることが目的です。監査はそれらの検査結果や対応体制も含めて「評価」しますが、自らが脆弱性テストを行うことが目的ではありません。重要なのは「独立的評価」である点です。
• エ（ソフトウェア開発の生産性向上）：
  開発生産性の測定や向上は品質管理やプロセス改善（例：プロセス評価、CMM）に属します。監査は開発プロセスの管理や統制が適切かを評価できますが、「生産性向上」そのものを目的として実施するものではありません。

よくある誤解

1. 監査は問題を「直接直す」活動だと思う
   • 誤解：監査人が問題を修正するわけではありません。監査は問題点を指摘し、改善案を示すことが役割です。実際の対応は運用部門や経営が行います。
2. 監査はただの技術チェックだと思う
   • 誤解：技術的項目（脆弱性など）も対象になりますが、監査は組織・手続き・責任分担など管理面も含む、より広い評価です。
3. 脆弱性診断と監査は同じだと思う
   • 誤解：診断は主に技術的弱点の発見、監査は発見された弱点や対応体制を含めた管理の適切性を評価します。

補足コラム

• システム監査基準（平成16年改定）は、監査の目的や基本原則（独立性、専門性、客観性など）を示しています。監査の結果は「所見（問題点）」「リスクの評価」「改善勧告」の形で報告されます。
• 実務上の流れ（職場でのイメージ）：監査計画 → 書類・記録の確認 → 現地確認（運用状況の確認）→ 所見の整理 → 報告書作成 → 改善計画のフォローアップ。非IT担当者は、監査時に必要なドキュメント（規程、運用手順、ログの保管状況など）を準備して、監査人の質問に答えられるようにしておくとスムーズです。
• 簡単チェックリスト（監査前準備）
  • 運用規程・情報セキュリティ規程は最新版か
  • アクセス権や管理者リストは整理されているか
  • インシデント対応手順と実績（対応記録）があるか
  • 委託先管理（契約や監督）に関する文書が揃っているか

FAQ