情報資産のライフサイクル監査はどこまで対象か
ITパスポート試験 平成31年度春期 問50 ／ システム監査 › システム監査
過去問にチャレンジ
ある事業者において，情報資産のライフサイクルに従って実施される情報セキュリティ監査を行うことになった。この対象として，最も適切なものはどれか。
- ア
情報資産を管理している情報システム
- イ
情報システム以外で保有している情報資産
- ウ
情報システムが保有している情報資産
- エ
保有している全ての情報資産
会話形式の解説
講師この監査では、情報資産を作成から廃棄まで見渡します。まず、情報システムと情報資産を分けて考えましょう。
受験者システムが情報を管理しているなら、システムを監査対象にすれば足りると思いました。
講師情報資産を管理するシステムだけに絞ると、システム外で保有する情報資産が漏れます。紙の文書も情報資産です。
受験者では、システムが保有する情報資産だけでも範囲が狭いですね。
講師そのとおりです。システムが保有する情報資産に絞ると、紙の文書などが対象から漏れます。
受験者反対に、システム以外の情報資産だけを選ぶと、システム内の分が漏れますね。
講師はい。内外のどちらか一方だけでは、監査の対象範囲として足りません。
受験者保有する全ての情報資産なら、システム内外と紙の文書を含めて考えられます。
講師正解です。選択肢を比べるときは、何が情報を管理するかより、保有する情報資産が漏れなく含まれるかを確認してください。
まとめ
情報資産のライフサイクルに沿った監査では、保有する全ての情報資産を対象にします。情報資産には、情報システム内の情報だけでなく、システム外の情報や紙の文書も含まれます。情報システムそのものや、システム内外の一方だけに対象を絞る選択肢では、監査範囲に漏れが生じます。
解答・解説
正解はエです
この問題のテーマ
情報資産のライフサイクルに沿って監査するとき、対象をどこまで含めるかを問う問題です。
解き方の考え方
「情報システム」と「情報資産」を区別して考えます。情報資産はシステム内のデータに限らず、システム外で保有する情報や紙の文書も含みます。作成から廃棄までを見渡す監査では、保有する情報資産全体を対象にする選択肢を選びます。
選択肢ごとの解説
- ×ア 情報資産を管理している情報システム情報資産を管理する情報システムに対象を絞った説明です。それでは、システムの外で保有する情報資産を監査の対象に含められません。
- ×イ 情報システム以外で保有している情報資産情報システム以外で保有する情報資産だけを対象にしています。システム内で保有する情報資産もあるため、対象範囲が足りません。
- ×ウ 情報システムが保有している情報資産情報システムが保有する情報資産に対象を絞っています。紙の文書など、システム外の情報資産が漏れます。
- ○エ 保有している全ての情報資産保有する全ての情報資産を対象にする説明です。システム内外の情報に加えて紙の文書も含めて考えられるので、監査の対象範囲として最も適切です。
補足
選択肢を比べるときは、「何を管理するか」よりも「保有する情報資産を漏れなく含むか」に注目します。情報システムそのものを挙げたアと、情報資産を挙げたエの違いが判断の鍵です。
POINT
- 情報資産は、情報システム内のデータだけを指すものではありません。
- 紙の文書も情報資産に含まれます。
- 対象をシステム内またはシステム外の一方だけに絞ると、監査範囲に漏れが生じます。