データの流れと統制を追跡するシステム監査技法の見分け方
情報セキュリティマネジメント試験 令和元年度秋期 午前 問39 ／ システム監査 › システム監査
過去問にチャレンジ
データの生成から入力，処理，出力，活用までのプロセス，及び組み込まれているコントロールを，システム監査人が書面上で又は実際に追跡する技法はどれか。
- ア
インタビュー法
- イ
ウォークスルー法
- ウ
監査モジュール法
- エ
ペネトレーションテスト法
会話形式の解説
講師今回はシステム監査の技法の名前を問う問題です。注目したいのは「プロセスとコントロールを、書面上または実際に追跡する」という部分です。コントロールとは、処理の途中に組み込まれた統制、つまりチェックの仕組みのことです。
受験者技法の名前が4つ並んでいますが、どれも監査で使いそうなので迷います。インタビュー法でも、担当者に流れを聞けば追跡できる気がするのですが。
講師そこが分かれ目です。インタビュー法は、関係者に口頭で質問して回答を得る技法です。情報は回答者の説明から得るので、監査人が自分でデータや処理の流れをたどることにはなりません。
受験者なるほど、「聞く」と「自分でたどる」は別なのですね。では、監査モジュール法はプログラムに何かを組み込むので、処理の流れを追えそうに思えます。
講師監査モジュール法は、監査人が指定した条件に合うデータを記録し、レポートとして出力するモジュールを本番のプログラムに組み込む技法です。中心になるのは、組み込んだ仕組みによるデータの抽出です。プロセスとコントロールを順にたどる技法ではありません。
受験者条件に合うデータを拾い出す仕組みなのですね。ペネトレーションテスト法は、侵入を試すテストだと思うので、流れの追跡とは違いそうです。
講師そのとおりです。監査人が対象システムへの侵入を実際に試み、資源が守られているかを確かめる技法で、目的は不正侵入への耐性の確認です。残るウォークスルー法は、データの生成・入力・処理・出力・活用という一連の流れと、そこに組み込まれたコントロールを、書類の上または実際の業務でたどる技法です。問題文の説明とそのまま一致します。
受験者整理すると、人に聞くのがインタビュー法、プログラムに抽出の仕組みを組み込むのが監査モジュール法、侵入を試すのがペネトレーションテスト法、流れをたどるのがウォークスルー法ということですね。
講師よく整理できています。システム監査基準（平成30年）には、ほかにもチェックリスト法、ドキュメントレビュー法、突合・照合法、現地調査法、テストデータ法などが定義されています。技法の名前と「何を使って、何を確かめるか」を対応させて覚えておくと、別の技法を問われても同じ考え方で判断できます。
まとめ
この問題は、データの生成から入力・処理・出力・活用までの流れと、その途中に組み込まれたコントロールを、書面上または実際にたどるシステム監査技法を問うものです。正解はウォークスルー法です。インタビュー法は関係者に口頭で質問する技法、監査モジュール法は条件に合うデータを記録・出力するモジュールを本番プログラムに組み込む技法、ペネトレーションテスト法は侵入を試みて資源が守られているかを確かめる技法です。各技法を「何を使って、何を確かめるか」で区別すると見分けやすくなります。
解答・解説
正解はイです
この問題のテーマ
データの発生から活用までの流れと、その途中に組み込まれたコントロールを追いかけて確かめるシステム監査技法の名前を問う問題です。
解き方の考え方
問題文の要点は「プロセスとコントロールを書面上または実際に追跡する」という部分です。各選択肢の技法が、①人に聞くのか、②プログラムに仕組みを組み込むのか、③侵入を試みるのか、④処理の流れをたどるのかを見分けます。処理の流れをたどることそのものを目的とする技法は一つだけなので、そこで正解を絞り込めます。
選択肢ごとの解説
- ×ア インタビュー法インタビュー法は、関係者に口頭で質問して回答を得る技法です。情報は回答者の説明から得るため、監査人が自分でデータや処理の流れを書面上や実地でたどることにはなりません。問題文の「追跡する」という条件に当たらないので誤りです。
- ○イ ウォークスルー法ウォークスルー法は、データの生成・入力・処理・出力・活用という一連の流れと、そこに組み込まれたコントロールを、書類の上または実際の業務でたどる技法です。問題文の説明とそのまま一致するため、これが正解です。
- ×ウ 監査モジュール法監査モジュール法は、監査人が指定した条件に合うデータを記録し、レポートとして出力するモジュールを本番のプログラムに組み込む技法です。中心となるのは、組み込んだ仕組みによるデータの抽出です。監査人がプロセスとコントロールを順にたどる技法ではないので誤りです。
- ×エ ペネトレーションテスト法ペネトレーションテスト法は、監査人が対象システムへの侵入を実際に試み、資源が守られているかを確かめる技法です。目的は不正侵入への耐性を確認することです。データ処理の流れや統制の働きを追跡するものではないので誤りです。
補足
システム監査基準（平成30年）では、ほかにもチェックリスト法、ドキュメントレビュー法、突合・照合法、現地調査法、テストデータ法などの監査技法が定義されています。技法の名前と「何を使って、何を確かめるか」を対応させて覚えておくと、ほかの技法を問う問題にも同じ考え方で対応できます。
POINT
- ウォークスルー法は「データの生成から活用までの流れとコントロールを、書面上または実地でたどる」技法です。
- インタビュー法は、関係者に口頭で問い合わせて回答を得る技法です。
- 監査モジュール法は、指定した条件に合うデータを記録・出力するモジュールを本番プログラムに組み込む技法です。
- ペネトレーションテスト法は、監査人が侵入を試みて、資源が守られているかを確かめる技法です。