アクセス制御の監査で適切な行為をどう見分けるか
基本情報技術者試験 令和元年度秋期 午前 問60 ／ システム監査 › システム監査
過去問にチャレンジ
アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- ア
ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イ
データに関するアクセス制御の管理規程を閲覧した。
- ウ
ネットワークに関するアクセス制御の管理方針を制定した。
- エ
ハードウェアに関するアクセス制御の運用手続を実施した。
会話形式の解説
講師この問題では、アクセス制御の対象よりも、監査人が何をしているかに注目します。監査人は管理や運用を独立した立場から評価します。
受験者台帳を作ることも管理をよくする行為なので、適切に思えました。
講師台帳の作成と保管は、管理を担当する側の仕事です。監査人が自ら管理すると、独立した立場からその管理状況を評価する役割に合いません。
受験者では、方針を決める行為も、監査人の仕事かどうかで考えるのですね。
講師はい。ネットワークのアクセス制御方針を制定するのは経営・管理側の仕事です。監査人は、その方針を評価する立場です。
受験者ハードウェアの運用手続を実施する行為はどうでしょうか。実際の運用を確かめることと混同しそうです。
講師手続を実施するのは運用側です。監査人は、その手続が適切に定められ、実施されているかを確かめます。
受験者管理規程を閲覧する行為なら、監査人自身が管理や運用を引き受けるわけではありませんね。
講師そのとおりです。データのアクセス制御に関する管理規程を閲覧すれば、どのような管理が定められているか確認できます。適切なのはイです。
受験者作成・制定・実施は担当する側の行為で、閲覧は監査のための確認だと整理できます。
講師迷ったときは、その行為が管理や運用そのものか、それを確かめる行為かを見分けましょう。
まとめ
システム監査人は、アクセス制御の管理や運用を独立した立場から評価します。管理規程の閲覧は、定められた管理内容を確認する行為なので適切です。台帳の作成・保管と方針の制定は管理側、運用手続の実施は運用側の仕事です。
解答・解説
正解はイです
この問題のテーマ
アクセス制御の監査で、システム監査人が行うべき行為を問う問題です。
解き方の考え方
システム監査人は、独立した立場から管理の仕組みと運用状況を評価します。各選択肢の行為が、評価のための確認なのか、管理や運用そのものなのかを見分けます。
選択肢ごとの解説
- ×ア ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。ソフトウェアのアクセス制御に関する管理台帳を作成・保管するのは、管理を担当する側の仕事です。監査人が台帳を自ら管理する行為は、独立した立場で管理状況を評価する役割に合いません。
- ○イ データに関するアクセス制御の管理規程を閲覧した。データのアクセス制御に関する管理規程を閲覧すれば、どのような管理が定められているか確認できます。規程の内容を確かめる行為は監査人の役割に合うため、これが正解です。
- ×ウ ネットワークに関するアクセス制御の管理方針を制定した。ネットワークのアクセス制御方針を制定するのは、経営・管理側の仕事です。監査人は方針を評価する立場であり、自ら制定する役割ではありません。
- ×エ ハードウェアに関するアクセス制御の運用手続を実施した。ハードウェアのアクセス制御に関する運用手続を実施するのは、運用側の仕事です。監査人が行うのは、その手続が適切に定められ、実施されているかを確かめることです。
POINT
- 監査人は、管理や運用を独立した立場から評価します。
- 管理規程の閲覧は、定められた管理内容を確認する行為です。
- 台帳の作成・保管や方針の制定は、管理側の業務です。
- 運用手続の実施は、運用側の業務です。