システム文書の監査項目はリスクからどう選ぶか
基本情報技術者試験 平成29年度春期 午前 問59 ／ システム監査 › システム監査
過去問にチャレンジ
システムに関わるドキュメントが漏えい，改ざん，不正使用されるリスクに対するコントロールを監査する際のチェックポイントはどれか。
- ア
システムの変更に伴い，ドキュメントを遅滞なく更新していること
- イ
ドキュメントの機密性を確保するための対策を講じていること
- ウ
ドキュメントの標準化を行っていること
- エ
プロトタイプ型開発においても，必要なドキュメントを作成していること
会話形式の解説
講師この問題では、文書に関する取組が、示されたリスクに対応しているかを確かめます。どんなリスクが挙げられていますか。
受験者漏えい、改ざん、不正使用です。変更後すぐに文書を更新することも、監査では大切そうに見えます。
講師更新すれば記載内容をシステムの実態に合わせられます。ただ、更新を早く行うこと自体は、漏えいや不正使用を抑える対策でしょうか。
受験者いいえ。内容を新しくすることと、不正な閲覧や使用を防ぐことは別ですね。
講師そのとおりです。では、文書の形式や作成手順をそろえる標準化はどうでしょうか。
受験者作り方はそろいますが、できた文書が不正に閲覧・使用されることまでは防げません。
講師そうです。文書を用意することに関する選択肢もありますね。
受験者プロトタイプ型開発でも必要な文書を作る、という選択肢もありますね。作成しているだけでは、漏えいや改ざんから守る対策があるか分かりません。
講師では、文書の機密性を確保する対策は、どのリスクに結び付きますか。
受験者許可されていない人による閲覧や利用を抑えるので、漏えいや不正使用に直接関わります。これが正解ですね。
講師はい。監査項目は、取組が有用そうかだけでなく、設問で指定されたリスクに対応するかで選びます。
まとめ
文書の更新、標準化、作成はそれぞれ目的の異なる取組ですが、それだけでは設問のリスクに対応する保護策を確認したことにはなりません。文書の機密性を確保する対策は、許可されていない人による閲覧や利用を抑え、漏えいや不正使用に直接関わります。監査項目は、示されたリスクとの結び付きを確かめて選びます。
解答・解説
正解はイです
この問題のテーマ
文書の漏えい、改ざん、不正使用というリスクに対して、どの監査項目を確認すべきかを問う問題です。
解き方の考え方
各選択肢が、文書を作成・管理するための取組なのか、文書を不正な扱いから守るための取組なのかを見ます。設問に挙げられたリスクとの関係が最も直接的なものを選びます。
選択肢ごとの解説
- ×ア システムの変更に伴い，ドキュメントを遅滞なく更新していることシステムの変更に合わせて文書を更新すれば、記載内容を実態に合わせられます。しかし、更新を遅滞なく行うこと自体は、文書の漏えいや不正使用を抑える対策にはなりません。
- ○イ ドキュメントの機密性を確保するための対策を講じていること文書の機密性を確保する対策は、許可されていない人による閲覧や利用を抑えるためのものです。漏えいや不正使用という設問のリスクに直接関わるので、監査で確認する項目として適切です。
- ×ウ ドキュメントの標準化を行っていること文書の標準化は、形式や作成手順をそろえる取組です。それだけでは、作成された文書が不正に閲覧・使用されることを防げません。
- ×エ プロトタイプ型開発においても，必要なドキュメントを作成していること開発手法にかかわらず必要な文書を作成することは、文書を用意するための確認項目です。作成した文書を漏えいや改ざんから守る対策が講じられているかは、これだけでは分かりません。
POINT
- 監査項目は、設問で指定されたリスクに対応するかを確かめて選びます。
- 文書を適時に更新することと、文書へのアクセスを制限することは目的が異なります。
- 文書の作成方法を整えても、作成後の保護を確認したことにはなりません。