ITパスポート 2011年 春期 問06

経営戦略に沿った情報システムの実践規範とは【ITパスポート 解説】

正解の理由

• コントロール（統制・管理の仕組み）：業務やシステムを望ましい状態に保つためのルールや手続き。
• 監査（audit）：事実や手続きが適切に行われているかをチェックする行為。

解法ステップ

1. 設問文のキーワードを拾う：「経営戦略に沿って」「情報システム戦略」「投資の効果」「リスクを低減するコントロール」「実践規範」。
2. 各選択肢の役割を短く思い出す。
   • 管理基準 → 実務のやり方・運用ルール
   • 監査基準 → 監査手続きや評価方法
   • 情報セキュリティ系 → セキュリティに特化
3. キーワードが「実践規範（管理・運用）」を指しているので、管理基準を選ぶ。
4. 選択肢の中で「管理基準」に該当するのは イ であることを確認する。

選択肢別の誤答解説

• ア: システム監査基準
  「監査基準」は監査人が監査を行うときの手続きや評価基準を定めます。設問は「実践規範（管理・運用）」を求めているため不適切です。
• イ: システム管理基準
  「管理基準」は情報システムを経営戦略に沿って整備・運用するための指針や具体的な管理策（コントロール）を示します。設問の「実践規範」という表現と合致します。
• ウ: 情報セキュリティ監査基準
  これは情報セキュリティ（機密性・完全性・可用性を守ること）に関する監査手法の基準です。監査に特化しているため、設問の「投資効果やリスク低減のための管理・運用の実践規範」とはズレます。
• エ: 情報セキュリティ管理基準
  情報セキュリティ管理基準はセキュリティ対策全般の管理ルールを定めます。用途は近いですが、設問は「情報システム戦略全体（投資や経営戦略との整合）」に関する実践規範を問うため、より広く「システム全体の管理」を示す イ が適切です。エはセキュリティ面に重点があります。

よくある誤解

• 「監査基準」と「管理基準」を混同する
  監査基準はチェックの方法や基準で、管理基準は実際の運用ルールです。設問が「実践規範」と言っている場合は管理側を指すことが多いです。
• 情報セキュリティ系の選択肢にすれば良いと考える
  情報セキュリティは重要ですが、設問は「情報システム戦略全体」と「投資・リスク管理」を扱っています。セキュリティに限定された語は不十分です。

補足コラム

• COBIT（Control Objectives for Information and Related Technologies：ITガバナンスのフレームワーク）→ ITを経営に合わせて管理・統制する枠組み。
• ISO/IEC 38500（ITガバナンスに関する国際規格）→ 経営層がITのガバナンスを行うための指針。

FAQ