システム監査技術者 2022年午前2 問03

問題文

システム管理基準（平成30年）では、前文において同基準の活用における留意点について記述している。記述内容として、適切なものはどれか。

🖊️ 解答を隠して解いてみる

ア：システム管理及びシステム監査の主旨を実現するためには、同基準にのっとって網羅的に管理項目を適用しなければならない。

イ：情報セキュリティの監査・管理を実施する場合には同基準ではなく、情報セキュリティ管理基準に基づいて監査・管理を実施しなければならない。

ウ：大企業だけでなく、中小企業向けの情報システム化戦略、情報システム化実践に関わる適切な自己診断及び監査にも使用できる。（正解）

エ：同基準を基に企業などが独自の管理基準を策定する場合には、同基準に規定された管理項目を、可能な限りそのまま採用することによって、管理の有効性を高める。

🔒 解説は解答すると表示されます

正しいのはウです。

システム管理基準は、大企業だけを対象とするものではありません。企業の規模や状況に応じて、情報システム化戦略や情報システム化の実践に関する自己診断・監査に活用できます。したがって、中小企業でも利用できるというウの記述が適切です。

この基準は、管理項目をすべて一律に適用するための規則ではなく、組織が自らの状況に合わせて管理を整備・評価する際の参考として活用します。

ア：誤り
管理項目を網羅的に適用しなければならない、という基準ではありません。組織の目的や規模、リスクなどを踏まえて、必要な項目を選択・調整して活用します。
イ：誤り
情報セキュリティの管理・監査であれば、システム管理基準を使えないという意味ではありません。情報セキュリティ管理基準などを目的に応じて参照することはありますが、「同基準ではなく、別の基準に基づかなければならない」と限定する記述は不適切です。
ウ：正しい
大企業に限らず、中小企業も、情報システム化に関する自己診断や監査に活用できます。
エ：誤り
独自の管理基準を策定する際に、管理項目を可能な限りそのまま採用することが必須とはされていません。組織の実態に合わせて内容を検討することが重要です。

システム管理基準は、情報システムの企画・開発・運用などに関する管理の考え方を示すものです。実務では、基準の項目をそのままチェックリストとして使うだけでなく、自組織に必要な管理を検討するための参照枠として利用します。

Q. 中小企業では、システム管理基準を使う必要はありませんか？
A. いいえ。企業規模にかかわらず、情報システム化に関する自己診断や監査の参考として活用できます。

Q. 基準の項目をすべて適用しなくてもよいのですか？
A. はい。組織の規模、業務内容、リスクなどに応じて、必要な項目を選択・調整して活用します。

関連キーワード: システム管理基準、情報システム監査、自己診断、情報セキュリティ管理基準

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！