ITパスポート 2013年 春期 問51

システム監査の実施内容に関する記述【ITパスポート 解説】

正解の理由

• 監査（audit）：対象がルールや基準に合っているかをチェックして評価すること。第三者による評価が望ましい。
• リスク：将来における望ましくない事象が発生する可能性。
• コントロール：リスクを防ぐ、または影響を小さくするための仕組みや手順。
• 第三者：監査対象と利害関係のない外部または組織内で独立性を保った評価者。

解法ステップ

1. 「監査（評価）」の定義を思い出す。監査は客観的・独立的な評価である。
2. 各選択肢で「監査らしさ」があるか確認する。監査のキーは「整備・運用の評価」と「独立性」。
3. 独立性が明記されている選択肢を探す。あれば有力候補。
4. 他の選択肢が「監査」ではなく「運用」や「テスト」「構築」など別の活動を示していないかを確認して除外する。
5. 最終的に最も監査の定義に合う選択肢を選ぶ。

選択肢別の誤答解説

• ア: ISO9001に基づく品質マネジメントシステムを、品質管理責任者が構築し運営する。
  解説：ISO9001（品質マネジメントシステムの国際規格：顧客満足や継続的改善を目的とした枠組み）は組織全体での取り組みを要求します。監査の説明ではなく、「誰が構築・運営するか」を単純化しすぎています。さらに、ISO9001自体は品質管理の枠組みであり、必ずしもシステム監査の定義とは一致しません。
• イ: 開発担当者が自ら開発したシステムの内容をテストする。
  解説：開発担当者によるテストは「自己検査」であり、ソフトウェア開発工程上の正しい工程（単体テスト、結合テストなど）ではあります。しかし、監査は独立した評価活動です。開発者が自分の仕事をテストするだけでは、客観的な監査とは言えません。
• ウ: 情報システムのリスクに対するコントロールが適切に整備・運用されているかを、監査対象から独立した第三者が評価する。
  解説：監査の本質（リスクとコントロールの評価、独立性）を正しく示しています。これが正しい記述です。
• エ: 専用のソフトウェアを使って、システム管理者がシステムのセキュリティホールを自ら検証する。
  解説：専用ソフトで脆弱性を探す行為は「脆弱性診断」や「ペネトレーションテスト（侵入テスト）」に相当します。これらは重要なセキュリティ活動ですが、システム管理者が自ら行う場合は独立性がありません。監査とは異なります。

よくある誤解

1. 「テスト＝監査」と考える誤解
   • テスト（動作確認やバグ検出）は開発や運用プロセスの一部です。監査はそのプロセスや管理手続きが適切かを独立して評価する行為で、目的と立場が異なります。
2. 「内部の責任者がやれば監査になる」と考える誤解
   • 内部監査（組織内で実施する監査）はありますが、監査の信頼性を保つために監査部門は被監査部門から独立した立場を保つべきです。責任者や実務者自身が監査を行うのは不適切です。
3. 「専用ツールで検査すれば監査になる」と考える誤解
   • ツールでの検査は証拠の収集に役立ちますが、監査は収集した情報を基に評価・判断を下す人の独立性と専門性が重要です。

補足コラム

• 内部監査と外部監査の違い
  • 内部監査（内部監査人が行う）：組織内部の監査で、改善点を見つけるために行います。監査部門は被監査部門と利害関係が少ない形で独立性を保つ必要があります。
  • 外部監査（第三者機関が行う）：客観性がより高く、法令順守や認証のために用いられます。外部の専門家や認証機関が行うことが多いです。
• ペネトレーションテスト（侵入テスト）と監査の違い
  • 侵入テストは実際に攻撃を模してセキュリティの弱点を発見します。監査は管理や運用が基準に沿っているかを評価します。両者は補完関係にあります。

FAQ