ITパスポート 2015年 春期 問01

組織の情報システムライフサイクルに関する実践規範【ITパスポート 解説】

正解の理由

• 「システム管理基準」は、システムの企画から保守までの各段階で何をどう管理するかを定めます。
• 投資（コスト）対効果、運用リスク、変更による影響など、経営・現場双方の視点を踏まえた管理指針です。

解法ステップ

1. 問題文で重要なキーワードを拾う
   • 「企画・開発・運用・保守」（ライフサイクル全体）、「効果的な投資」、「リスク低減」、「コントロール」、「実践規範」
2. 各選択肢の対象範囲を考える
   • その基準が「ライフサイクル全体の管理」に関するものか、「特定領域（例：不正アクセスや監査）」に限定されるかを判断する
3. ライフサイクル全般と投資・リスク管理に当たる選択肢を選ぶ
   • これに当てはまるのが ウ「システム管理基準」

選択肢別の誤答解説

• ア: コンピュータ不正アクセス対策基準
  • これは「不正アクセス（許可のない外部からの侵入など）を防ぐための対策基準」です。対象は主にアクセス制御やログ管理などセキュリティ対策で、ライフサイクル全体の投資評価や運用管理全般を網羅するものではありません。
• イ: システム監査基準
  • 「監査（audit）」は、第三者や内部監査人がシステムや運用の適切さを評価するための基準です。評価・検証の枠組みを示しますが、日常の管理手順や投資判断のための実務規範そのものではありません。
• ウ: システム管理基準
  • （正解の理由は上記参照）ライフサイクル全体を通した管理とコントロールの実践規範であり、投資やリスク低減に直結します。
• エ: 情報システム安全対策基準
  • こちらは「情報システムの安全（セキュリティ）対策」に特化した基準です。機密性・完全性・可用性を守るための技術的・運用的対策が中心で、投資評価や経営的なガバナンスまでカバーするものではありません。

よくある誤解

1. 「監査基準＝管理基準だ」と混同する
   • 監査基準は評価・検証のための基準です。日々の運用ルールや投資判断の手順を定めるのはシステム管理基準です。
2. 「安全対策＝リスク低減すべて」と思う
   • 情報セキュリティ（安全対策）は重要ですが、リスク低減の対象はセキュリティだけでなく、投資の無駄や運用停止リスク、品質問題など多岐にわたります。管理基準はそれらを包括します。
3. 「基準があれば運用は完璧」と期待しすぎる
   • 基準は指針であり、現場での適用と継続的な見直しが必要です。運用実績と改善サイクルが重要です。

補足コラム

• COBIT（Control Objectives for Information and Related Technologies：ITガバナンスの枠組み）
  • 経営とITを結びつけ、コントロールや指標を整える考え方。システム管理基準の考え方と親和性があります。
• ITIL（IT Infrastructure Library：ITサービス管理のベストプラクティス）
  • 運用・保守やサービス提供に関する手順と役割を定める実務指南です。ライフサイクルの運用側で役立ちます。
• ISO/IEC 27001（情報セキュリティマネジメントシステム）
  • 情報セキュリティの体系的管理を定める国際規格で、安全対策基準と関連します。

• 企画段階：投資対効果の評価（経営判断）
• 開発段階：品質管理・テストの規定
• 運用段階：障害対応の手順、変更管理
• 保守段階：バージョン管理、契約更新
  これらを横断して規定するのが「システム管理基準」です。

FAQ