情報セキュリティマネジメント 2018年 春期 午前（科目A） 問39

監査証拠（エビデンス）【情報セキュリティマネジメント解説】

正解の理由

• 監査証拠は監査対象側が作成した客観的な記録（ログ、画面出力、操作履歴、設定ファイルなど）が基本。
• 監査人側が作成した会議議事録や監査計画、最終的な指摘事項は、「監査人の作業文書」や「監査の結論」であり、証拠そのものではありません。

解法ステップ

1. 問題のキーワードを見つける：「監査証拠」「入手」「被監査部門」など。
2. 監査証拠とは何かを短く定義する（客観的な記録・資料）。
3. 各選択肢が「客観的な一次記録か」「監査人側の作業・結論か」を判断する。
4. 一次記録や運用ログなど、実際の業務を示す資料を選ぶ。

選択肢別の誤答解説

• ア: システム監査チームが監査意見を取りまとめるためのミーティングの議事録
  → 監査人側が作成した会議の記録です。監査のための内部作業文書（ワーキングペーパー）であり、監査意見の根拠を整理する助けにはなりますが、被監査部門の実態を示す一次的証拠ではありません。
• イ: システム監査チームが監査報告書に記載した指摘事項
  → 監査人の結論・評価です。指摘事項そのものは「判断」であり、監査証拠はその判断を支持するデータ（ログや記録）です。したがって指摘事項自体は証拠ではありません。
• ウ: システム監査チームが作成した個別監査計画書
  → 監査の計画書は監査人が実施に当たって作る文書で、監査の方法や対象を示すものです。計画書は手続きの証拠(監査が適切に計画されたことを示す資料)にはなり得ますが、ここで問われている「監査証拠（被監査部門の運用を示す証拠）」とは性質が異なります。
• エ: システム監査チームが被監査部門から入手したシステム運用記録
  → 被監査部門が日常的に作成・保有する運用記録は、実際の操作やイベントを示す一次的で客観的な証拠です。これが監査証拠として適切です。

よくある誤解

1. 「監査人が作った文書＝監査証拠」と考える誤り
   • 監査人の議事録や計画、指摘は重要ですが、これらは作業文書や結論であり、被監査部門の実態を直接示す証拠とは区別します。
2. 「口頭説明だけで証拠になる」と思う誤り
   • 口頭の説明は参考情報になりますが、監査証拠としては弱く、可能なら記録（メール、ログ、書類）で裏付けが必要です。

補足コラム

• 関連性（relevance）：監査の目的・基準に関係があるか。
• 信頼性（reliability）：改ざんされていないか、誰がいつ作成したかが分かるか。システムログはタイムスタンプやアクセス制御で信頼性が高い。
• 十分性（sufficiency）：結論を支えるのに量的・質的に十分か。単発の記録だけでなく複数の記録で裏付けると強い。

• システム運用記録（ログ）は定期的に保存・バックアップし、改ざん防止のためにアクセス権を制限します。監査時にはログの取得方法や保持期間、保存場所を説明できるようにしておくとスムーズです。

FAQ