システム監査技術者 2022年 午前2 問07
問題文
JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）では、運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが最も望ましいとされている事項はどれか。
選択肢
ア：運用システムに影響を与えないよう、監査におけるテストについては、アクセス監視やログ取得の対象外とする。
イ：運用システムや当該システム上のデータへのアクセスに関する監査要求事項については、当該システムの運用担当者に限定して同意を得る。
ウ：監査におけるテストがシステムの可用性に影響する可能性がある場合は、当該テストを営業時間内に実施する。
エ：監査におけるテストでソフトウェア及びデータにアクセスする場合は、読出し専用のアクセスに限定する。（正解）
🔒 解説は解答すると表示されます
運用システム監査の管理策【午前2解説】
正解の理由
運用中のシステムに対する監査では、監査作業による障害や業務への影響をできるだけ小さくする必要があります。そのため、監査でソフトウェアやデータにアクセスする場合は、原則として読出し専用に限定します。
読出し専用であれば、監査対象のプログラムやデータを書き換えたり削除したりするリスクを抑えられます。この管理策に合致するのがエです。
解法ステップ
- 問題の主題を「運用システムに対する監査の影響を抑えるための管理策」と捉えます。
- 監査による変更や停止を防ぐ措置に注目します。
- ソフトウェアやデータへのアクセスを読出し専用にする選択肢を選びます。
選択肢別の誤答解説
- ア：誤りです。監査のテストをアクセス監視やログ取得の対象外にするのではなく、監査活動に伴うアクセスも適切に記録・監視する必要があります。
- イ：誤りです。監査要求事項やアクセスについて、運用担当者だけに同意を求めればよいわけではありません。監査対象システムを管理する適切な責任者との調整が必要です。
- ウ：誤りです。テストがシステムの可用性に影響する可能性がある場合は、影響を抑えるため、通常は営業時間外に実施することが望まれます。営業時間内の実施は逆です。
- エ：正しいです。監査でソフトウェアやデータにアクセスする際に読出し専用とすることで、監査による変更や破損のリスクを抑えられます。
よくある誤解
- 監査だから本番環境で自由に操作してよい：監査目的であっても、運用システムへの影響を考慮し、アクセス範囲や方法を制限します。
- 読出し専用なら監視や記録は不要：読出し専用でもアクセス自体は発生するため、適切な監視やログ記録が必要です。
- 可用性への影響があるテストは営業時間内に行う：業務への影響を抑える観点から、通常は営業時間外に実施します。
補足コラム
JIS Q 27002:2014では、運用システムに対する監査の要求事項や活動を慎重に計画し、業務への影響を最小限にする考え方が示されています。読出し専用アクセスのほか、監査範囲の事前調整や、アクセスの記録・監視も重要な対策です。
FAQ
Q. 読出し専用にすれば、監査による影響は完全になくなりますか？
A. いいえ。データを書き換えるリスクは抑えられますが、アクセスによる負荷などの影響は残る可能性があります。そのため、監査の計画や実施時間の調整も必要です。
A. いいえ。データを書き換えるリスクは抑えられますが、アクセスによる負荷などの影響は残る可能性があります。そのため、監査の計画や実施時間の調整も必要です。
Q. テストを営業時間外に行えば、読出し専用にしなくてもよいですか？
A. いいえ。営業時間外の実施と読出し専用のアクセスは、それぞれ異なるリスクを抑える対策です。状況に応じて両方を考慮します。
A. いいえ。営業時間外の実施と読出し専用のアクセスは、それぞれ異なるリスクを抑える対策です。状況に応じて両方を考慮します。
関連キーワード: JIS Q 27002、運用システム監査、読出し専用アクセス、アクセス監視、監査ログ
\ せっかくなら /
システム監査技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！