システム監査技術者 2011年午前2 問05

問題文

情報システムのコントロールの評価を整備状況の評価と運用状況の評価に分けたとき、ユーザのシステムへのログインパスワード管理について、運用状況の評価に該当するものはどれか。

🖊️ 解答を隠して解いてみる

ア：システム仕様書の承認ルールを閲覧して、パスワード管理方針に基づいた設計が行われていることを確認する。

イ：システム部門の責任者への質問によって、パスワード管理に関する会社の方針を確認する。

ウ：パスワード管理マニュアルを閲覧して、パスワード設定ルールを確認する。

エ：パスワードを管理しているファイルから抽出したサンプルについて、パスワードの設定状況を確認する。（正解）

🔒 解説は解答すると表示されます

運用状況の評価では、整備されたルールや手順が、実際の業務で適切に実施されているかを確認します。

エは、パスワードを管理しているファイルからサンプルを抽出し、実際のパスワード設定状況を確認する方法です。定められたルールが実際に守られているかを、具体的な記録に基づいて確かめているため、運用状況の評価に該当します。

整備状況の評価と運用状況の評価を区別します。
- 整備状況：ルールや手順が適切に定められているか
- 運用状況：ルールや手順が実際に守られているか
各選択肢が、方針・設計・マニュアルを確認しているのか、実際の運用記録を確認しているのかを見分けます。
実際のパスワード設定状況をサンプルで確認するエを選びます。

文書を確認すれば運用状況の評価だと思う
マニュアルや仕様書の確認は、原則としてルールや仕組みが整備されているかを確かめるものです。
担当者に質問すれば運用状況の評価だと思う
質問だけでは、実際にルールが守られている証拠として不十分な場合があります。記録やサンプルなどの証拠も確認することが重要です。
サンプル確認は整備状況の評価だと思う
実際の記録や設定を調べ、ルールが実施されているかを確認する場合は、運用状況の評価に当たります。

統制評価では、ルールが存在することと、そのルールが実際に機能していることを分けて確認します。たとえば、パスワードポリシーが文書化されていても、実際の利用者がそのルールに従って設定しているとは限りません。そのため、文書の確認に加えて、実際の設定記録などを調べることが必要です。

Q. 運用状況の評価では、必ずサンプルを抽出しますか？
A. 必ずとは限りません。記録の閲覧、実地確認、再実施など、統制の内容に応じた方法を用います。この問題では、実際の設定状況をサンプルで確認する方法が示されています。

Q. 方針やマニュアルが整備されていれば、統制は有効ですか？
A. それだけでは判断できません。方針やマニュアルが適切でも、現場で守られていなければ、運用上の統制は有効とはいえません。

関連キーワード: 整備状況の評価、運用状況の評価、内部統制、監査証拠、サンプル検査

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！