情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問40

監査人の職務範囲【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「監査人の役割」を確認する
   • 監査人は評価・検証・報告を行う。実際の運用や方針策定を行う立場ではない。
2. 各選択肢を「監査行為か」「管理・運用行為か」に分類する
   • 監査行為：閲覧、確認、証拠収集、質問、テストなど
   • 管理／運用：作成、制定、実施、保管など
3. 監査人が行ってよい行為を選ぶ
   • 閲覧や検証は可。作成・制定・実施・保管などの実務は不可（利害・独立性の問題）。
4. 正しい選択肢を決定する

選択肢別の誤答解説

• ア: ソフトウェアに関するアクセス制御の管理台帳を作成し、保管した。
  • 解説: 台帳を「作成・保管」することは運用・管理の行為です。監査人がこれを行うと、監査対象への直接関与になり、独立性が損なわれます。監査人は台帳を「要求して閲覧・確認・コピー」するのは可ですが、自ら作るべきではありません。
• イ: データに関するアクセス制御の管理規程を閲覧した。
  • 解説: これは監査の典型的な行為です。規程（ルール）を読み、内容が適切か、実際の運用と整合しているかを確認します。文書確認は証拠収集の基本であり、監査人として適切です。
• ウ: ネットワークに関するアクセス制御の管理方針を制定した。
  • 解説: 方針を「制定する」ことは経営や管理部門の責務です。監査人が方針を作ると、監査で評価すべき対象を自分で作成したことになり評価の中立性が失われます。
• エ: ハードウェアに関するアクセス制御の運用手続きを実施した。
  • 解説: 実際に手続きを「実施する」ことは運用行為です。監査人は運用を観察・テストすることはできますが、実務を代行してはなりません。実施すると事後的な利害関係が生じます。

よくある誤解

• 監査人は「手伝い」もしてよい：監査人が運用や作成を手伝うと、評価の客観性が失われます。提言や助言はできますが、実務は管理側が行います。
• 書類を作ること＝効率化でOK：効率やスムーズさのためでも、監査人自身が証拠書類を作るのは避けるべきです。作成は管理側に依頼し、作成過程や内容を監査で確認します。
• 閲覧だけでは不十分だ：閲覧は監査の出発点です。必要ならヒアリング、現場確認、サンプル検査などで裏取り（証拠確認）を行います。閲覧＝手抜きではありません。

補足コラム

FAQ