ITパスポート 2015年 春期 問40

情報システムのリスクに対するコントロールが適切に整備運用されていることを検証するための手段【ITパスポート 解説】

正解の理由

• システム監査（システムかんさ：情報システムに関する監査）は、第三者的な視点で証拠（ログや手順書、運用の観察など）を集め、コントロールの設計（整備）と運用（実際に機能しているか）を客観的に評価する手続きです。監査は「検証」が目的なので、設問に合致します。

• BCP（Business Continuity Plan：事業継続計画）は、事故や災害時に事業を続けるための計画であって、検証手段ではありません。
• ITIL（Information Technology Infrastructure Library：ITサービス管理のベストプラクティスの枠組み）は、運用や管理のやり方を定めるガイドであり、検証手段そのものではありません。
• ITガバナンス（IT governance：経営とITの関係を決める仕組み）は、方針や仕組みを定める概念で、監査の対象になり得ますが「検証手段」ではありません。

解法ステップ

1. 問題文のキーワードを確認：「検証するための手段」「コントロールが適切に整備運用されていること」
2. 各選択肢の役割を短く頭の中で整理する。
   • これは「計画」「枠組み」「監督」「検証」のどれかか。
3. 「検証」が目的なので、実際に証拠を集め評価するものを選ぶ。
4. それができるのは監査（システム監査）であるため、エを選ぶ。

選択肢別の誤答解説

• ア: BCP（事業継続計画）
  • 目的は災害などで事業を止めないための手順や体制を準備することです。計画の作成や訓練は行いますが、これ自体が「整備運用の検証手段」ではありません。BCPの有効性を確認するには監査や演習（テスト）が必要です。
• イ: ITIL（Information Technology Infrastructure Library：ITサービス管理のベストプラクティスの枠組み）
  • ITサービスの運用や改善を行うためのガイドライン集です。良い運用方法を示しますが、「整備運用が適切か」を直接証明する手段ではありません。ITILに従っているかを確認するには監査やレビューが必要です。
• ウ: ITガバナンス（IT governance：経営とITの関係を決める仕組み）
  • 組織の意思決定や権限、管理構造を定める枠組みです。監督や管理の仕組みを整える概念で、検証そのものではありません。監査はITガバナンスの有効性を評価する手段になります。
• エ: システム監査（正解）
  • 設計や運用が適切かを、証拠に基づいて評価・報告する「検証」のための手段です。内部監査（組織内で行う）や外部監査（独立した第三者が行う）があります。試験問題の問いに直接合致します。

よくある誤解

1. 「ITILがあれば検証は不要」
   • ITILは運用の方法を示すだけです。実際にその方法が守られているかを確かめるには監査やレビューが必要です。
2. 「BCPの存在＝検証済み」
   • BCPを作成しているだけでは不十分です。定期的な訓練やテスト、監査で効果を検証する必要があります。
3. 「ITガバナンスと監査は同じ」
   • ITガバナンスは「何をどう決めるか」の仕組み。監査はその仕組みや実行が正しく行われているかを確認する行為です。役割が違います。

補足コラム

• システム監査で使う主な手法
  • 文書レビュー：方針書や手順書を確認する。
  • 面談（インタビュー）：運用担当者に聞いて実態を把握する。
  • 観察：運用作業を直接見る。
  • テスト：設定やログをサンプルで突合し、実際に動いているかを確認する（例：アクセス権限が適切か、バックアップが取れているか）。
  • これらで集めた証拠をまとめ、是正事項（問題点）や改善点を報告します。
• 監査の独立性の重要性
  • 正しい評価をするためには、監査を行う人が評価対象から独立していることが望ましいです。内部監査でも組織内で独立した立場を確保することが重要です。
• 監査基準やフレームワーク
  • 監査には国際基準や業界標準のフレームワーク（例：COBIT（Control Objectives for Information and Related Technologies：IT管理のためのフレームワーク））がよく使われます。これらは「何を評価するか」の指針になります。

FAQ