システム監査人の独立性とは？アクセス制御監査での正しい行為
情報セキュリティマネジメント試験 令和元年度秋期 午前 問40 ／ システム監査 › システム監査
過去問にチャレンジ
アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- ア
ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イ
データに関するアクセス制御の管理規程を閲覧した。
- ウ
ネットワークに関するアクセス制御の管理方針を制定した。
- エ
ハードウェアに関するアクセス制御の運用手続を実施した。
会話形式の解説
講師今回はシステム監査人の役割を問う問題です。選択肢ごとに対象がソフトウェア、データ、ネットワーク、ハードウェアと変わっていますが、注目してほしいのは最後の動詞です。
受験者対象の違いで判断するのかと思っていました。動詞を並べると、作成・保管、閲覧、制定、実施ですね。
講師そうです。まず原則を確認しましょう。システム監査人は、対象を調べて評価し、助言や勧告を行う立場です。管理策を設計したり運用したりはしません。
受験者そうすると、調べる行為にあたるのは規程の閲覧だけです。データのアクセス制御の管理規程を閲覧する選択肢が正解でしょうか。
講師正解です。規程の閲覧は、監査証拠、つまり評価の根拠となる材料を集める代表的な監査行為です。規程の内容が適切かどうかを評価する手がかりになりますし、実際の運用と合っているかどうかは、観察やテストと組み合わせて確かめます。
受験者管理台帳を作って保管する選択肢で少し迷いました。監査に必要な資料をまとめているだけにも見えます。
講師引っかかりやすいところです。アクセス制御の管理台帳を作成して保管するのは、管理する側の運用業務です。監査人が自分で台帳を作り、あとでそれを評価すれば、自分の仕事を自分で監査する自己監査になり、独立性が損なわれます。
受験者管理方針を制定するのも、評価する対象を自分で作ることになるので不適切なのですね。
講師そのとおりです。方針を定めるのは経営者や管理する側の責務です。運用手続を実施するという選択肢も同じで、監査人ができるのは運用の様子を観察したりテストしたりすることまでです。自分で運用を担うと、その運用を独立して監査する立場を失います。
受験者閲覧・確認・質問・テストは監査人の行為、作成・制定・実施・保管は管理側の行為と分けて覚えればよさそうです。
講師その整理で大丈夫です。補足すると、改善についての助言は監査人の役割ですが、改善を実際に行うのは監査を受ける側です。監査人は、改善がどこまで進んだかを確かめる役割を担います。改善を実施するという選択肢が出てきたときも同じ考え方で判断してください。
まとめ
システム監査人は、対象を調べて評価し、助言や勧告を行う立場で、管理策の設計や運用は行いません。そのため、アクセス制御の監査で適切なのは、データのアクセス制御の管理規程を閲覧するという、監査証拠を集める行為です。台帳の作成・保管、方針の制定、運用手続の実施は管理側の行為で、監査人が担うと自己監査になり、独立性が損なわれます。選択肢で変わっている対象ではなく、行為の動詞に注目すれば正誤を見分けられます。
解答・解説
正解はイです
この問題のテーマ
アクセス制御を監査するとき、システム監査人がとるべき行為はどれかを問う問題です。監査人の役割と、独立性を保つうえでの立ち位置を理解しているかが試されます。
解き方の考え方
まず、システム監査人は対象を調べて評価し、助言や勧告を行う立場であり、管理策の設計や運用は行わないという原則を確認します。次に、各選択肢の動詞に注目し、「閲覧する」のような調べる行為か、「作成・保管」「制定」「実施」のような管理側の行為かを見分けます。調べる行為にあたるのはイの規程の閲覧だけなので、イが正解です。
選択肢ごとの解説
- ×ア ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。ソフトウェアのアクセス制御の管理台帳を作成し、保管するのは、管理する側が行う運用業務です。監査人が自分で台帳を作ると監査対象に直接かかわることになり、その台帳を後で評価すれば自己監査になって、独立性が損なわれます。
- ○イ データに関するアクセス制御の管理規程を閲覧した。データのアクセス制御の管理規程を閲覧するのは、監査証拠を集める代表的な監査行為です。閲覧によって規程の内容が適切かどうかを評価する手がかりが得られ、実際の運用と合っているかどうかも、観察やテストなどの手続と合わせて確かめられます。
- ×ウ ネットワークに関するアクセス制御の管理方針を制定した。ネットワークのアクセス制御の管理方針を制定するのは、経営者や管理する側の責務です。監査人が方針を定めると、評価する対象を自分で作ることになり、中立的に評価できなくなります。
- ×エ ハードウェアに関するアクセス制御の運用手続を実施した。ハードウェアのアクセス制御の運用手続を実施するのは運用行為であり、監査人が代わりに行うべきものではありません。監査人にできるのは運用の様子を観察したりテストしたりすることで、自分で運用を担うと、その運用を独立して監査する立場を失います。
補足
この問題では、対象がソフトウェア・データ・ネットワーク・ハードウェアと入れ替わっていますが、正誤を分けるのは対象ではなく行為の内容です。改善についての助言は監査人の役割ですが、改善を実際に行うのは被監査側です。
POINT
- システム監査人は対象を調べて評価し、助言や勧告を行う立場で、管理策の設計や運用はしません。
- 閲覧・確認・質問・テストなどは監査行為で、作成・制定・実施・保管は管理側の行為です。
- 監査人が管理や運用の業務を担うと自己監査の問題が生じ、独立性や中立性が損なわれます。
- 改善活動は被監査側が主体となって行い、監査人は改善の状況を確かめる役割を担います。