システム監査技術者 2014年 午後1 問01

解答の導き方

1. 表2の(1)では、設計書などが不十分なために「調査漏れが発生する可能性がある」ことがリスクとして挙げられています。そこで、ドキュメントだけに頼らず調査用ツールを使うコントロールが設けられています。
2. ただし、調査用ツールは、保守担当者が指定した範囲を基に影響範囲を調べるものです。本調査では「担当システムに関連するライブラリをその都度指定している」と分かっています。したがって、ツールを使っていても、指定するライブラリに漏れや誤りがあれば、影響のある箇所を調査できないおそれがあります。
3. そのため、T氏が確認しようとしたのは、ツールの操作方法や調査結果だけではなく、調査対象となるライブラリの指定範囲が適切かどうかを確認する仕組みです。担当者本人だけに任せず、別の担当者が指定範囲をチェックしていれば、漏れや誤りを発見しやすくなります。

誤りやすいポイント

• 調査用ツールを使用していることだけで、調査漏れを防げると考えないようにします。ツールへの指定が不適切なら、結果にも漏れが生じます。
• ツールの処理結果や報告書の記載内容を確認することと、調査対象の指定範囲を確認することを混同しないようにします。
• ライブラリの指定範囲は調査目的によって変わるため、毎回同じ範囲を指定することを対策とするのではなく、その都度の指定が適切かを確認する必要があります。

FAQ

解答の導き方

誤りやすいポイント

• 修正したプログラムだけをテストすれば十分だと考えることです。修正による影響は、後続のプログラムにも及ぶ可能性があります。
• テストの実施方法や回数を答えることです。この設問で問われているのは、テストの対象範囲です。
• 影響範囲を調査することだけを答えることです。影響範囲の把握はテスト対象を決める助けになりますが、実際にテストを行う必要があります。

FAQ

解答の導き方

誤りやすいポイント

• 障害が発生したプログラムを修正すれば十分だと考えることです。表2の(3)のリスクは障害情報が共有されないことによる再発なので、ほかのシステムにも同じ原因がないか確認する観点が必要です。
• 障害報告書に「原因」や「対応結果」を追加すればよいと考えることです。本調査では、それらはすでに記載されていました。他システムへの展開の要否と、その展開結果が不足しています。
• 「情報を共有する」とだけ書き、何をどの範囲で確認するかを明確にしないことです。解答では、同様の原因による障害の可能性を全システムについて調べる点が重要です。

FAQ

解答の導き方

1. この設問で問われているのは、引継ぎ時に保守担当者がドキュメントの「内容」をどのような観点で確認するかです。
   〔本調査の実施〕の(3)では、T氏はまず、引継ぎ済のドキュメントが網羅されているかを確認し、その後、ドキュメントの内容確認のポイントをヒアリングしています。したがって、ここではドキュメントの有無や種類だけでなく、記載内容が保守に役立つかを考える必要があります。
2. 内容を確認する必要性は、予備調査の結果からも分かります。詳細設計書やプログラム仕様書が存在しないシステムや、最新状態に更新されていないシステムが多く見られました。ドキュメントが引き継がれていても、保守作業に必要な情報が不足していたり、実際のシステムと内容が異なっていたりすれば、保守担当者はシステムの状況を正しく把握できません。
3. また、開発に携わったS社社員が残っていないシステムや、開発したベンダとは別のベンダが保守を担当するケースもあります。そのため、保守担当者がドキュメントを使って作業できるよう、記載内容に必要な情報が漏れなく含まれているかを確認することが重要です。
4. 以上から、確認のポイントは、ドキュメントがそろっているかだけではなく、ドキュメントの内容に保守作業で必要な情報が網羅されているかです。

誤りやすいポイント

• 「引継ぎ規程に定められたドキュメントがそろっているか」だけを書くと、〔本調査の実施〕の(3)で既に確認したドキュメントの網羅性と、内容確認の観点を混同してしまいます。
• ドキュメントの種類や枚数を確認することと、各ドキュメントの記載内容が保守作業に十分かを確認することは別です。
• 「内容が正しいか」だけでは確認範囲が狭くなります。保守作業に必要な情報が漏れなく記載されていることまで含めて考えます。

FAQ