システム監査技術者 2009年午前2 問04

問題文

情報システムの可用性監査において、システム障害報告書に基づき再発防止策の効果をレビューする手続として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：障害原因と障害発生時の停止時間の記載の有無の確認

イ：障害報告書の承認体制と承認状況の確認

ウ：前期及び当期の回復許容時間の予測値の比較

エ：前期及び当期の障害原因別の障害発生件数と停止時間の比較（正解）

🔒 解説は解答すると表示されます

再発防止策の効果を確認するには、対策の実施前後で、障害の発生状況やシステム停止への影響がどう変化したかを比較します。

エは、前期と当期について、障害原因別に「障害発生件数」と「停止時間」を比較します。特定の原因による障害が減ったか、また停止時間が短くなったかを確認できるため、再発防止策の効果をレビューする手続として適切です。

ア：障害原因や停止時間が報告書に記載されているかを確認する手続です。報告書の網羅性は確認できますが、再発防止策によって障害が減ったかまでは評価できません。
イ：障害報告書の承認体制や承認状況を確認する手続です。報告・承認の統制を確認するものであり、再発防止策の効果そのものを測るものではありません。
ウ：回復許容時間の予測値を前期と当期で比較します。これは障害発生後に許容される回復時間に関する比較であり、実際の障害件数や停止時間がどう変化したかを確認する手続ではありません。
エ：障害原因別に発生件数と停止時間の変化を比較します。再発防止策の結果を、障害の再発状況と可用性への影響の両面から評価できます。

報告書を確認すれば、効果も確認できると思う
記載内容や承認状況の確認は、報告・承認の適切性を確かめるものです。対策の効果を評価するには、対策前後の実績を比較します。
障害件数だけを見れば十分だと思う
件数が減っていても、長時間停止する重大な障害が残っている可能性があります。可用性の観点では、停止時間も重要です。
予測値の比較を実績の比較と混同する
回復許容時間の予測値は、障害の実際の発生状況や停止時間とは異なる指標です。

前期と当期を比べるときは、対象期間の長さやシステムの利用状況、変更内容なども考慮します。単純に件数を比べるだけでは判断を誤ることがあるため、必要に応じて稼働時間や利用量に対する発生率も確認します。

Q. なぜ障害原因別に比較するのですか？
A. 再発防止策は、特定の原因に対して実施されることが多いためです。原因別に比較することで、対策が狙った種類の障害に効いているかを把握しやすくなります。

Q. 発生件数が減っていれば、対策は成功といえますか？
A. 必ずしもそうとは限りません。停止時間が増えていないか、重大な障害が残っていないかなども併せて確認します。

関連キーワード: 可用性監査、再発防止策、障害発生件数、停止時間、回復許容時間

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！