システム監査人の独立性：アクセス制御の監査で適切な行為はどれか
情報セキュリティマネジメント試験 2022年 サンプル問題 問36 ／ システム監査 › システム監査
過去問にチャレンジ
アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- ア
ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イ
データに関するアクセス制御の管理規程を閲覧した。
- ウ
ネットワークに関するアクセス制御の管理方針を制定した。
- エ
ハードウェアに関するアクセス制御の運用手続を実施した。
会話形式の解説
講師今回は、アクセス制御を監査するときにシステム監査人がしてよい行為を選ぶ問題です。注目してほしいのは、選択肢ごとの行為が「評価する側」の仕事なのか、「管理・運用する側」の仕事なのかという点です。
受験者ソフトウェア、データ、ネットワーク、ハードウェアと対象がばらばらなので、対象で判断するのかと思いました。でも見るべきなのは、行為の中身のほうなのですね。
講師そのとおりです。対象の違いは判断に関係ありません。まず前提として、システム監査人は客観的で独立した立場から情報システムを評価し、助言や勧告をする役割です。独立性とは、評価する対象から距離を置いて公正に判断できる状態のことです。
受験者管理台帳を作成して保管するのは、監査のための記録づくりとも考えられそうです。それでも適切ではないのでしょうか。
講師迷いやすいところです。アクセス制御の管理台帳を作って管理するのは、管理を実施する被監査部門、つまり監査される側の業務です。監査人が台帳を作ると、その台帳を自分で評価することになり、客観性が保てません。
受験者自分で作ったものを自分で監査する形になるのですね。ネットワークの管理方針を制定するのも、同じ理由で不適切ということでしょうか。
講師はい。管理方針の制定は経営者や管理部門の責任です。監査人が方針を決めてしまうと、その方針が妥当かどうかを独立した立場から評価できなくなります。ハードウェアの運用手続を実施するのも同じで、監査対象を監査人自身が運用することになります。運用は被監査側が行い、監査人はその運用状況を評価する立場にとどまります。
受験者そうすると、データに関するアクセス制御の管理規程を閲覧するのが残ります。閲覧すれば、規程どおりに運用されているかまで分かるのでしょうか。
講師そこは分けて考えます。規程の閲覧で確かめられるのは、規程が整備されているかどうかです。運用が規程に沿っているかは、記録の閲覧や関係者への質問といった別の監査手続で確かめます。どちらも、証拠を集めて評価の根拠を得る行為なので、監査人の行為として適切です。
受験者整理すると、台帳の作成、方針の制定、運用手続の実施は管理・運用する側の仕事で、規程や記録を閲覧して確かめるのが監査人の仕事ということですね。
講師その理解で大丈夫です。補足すると、監査人は改善状況のフォローアップもしますが、改善そのものは被監査側が主体となって行います。たとえば別の問題で「監査人が改善策を実施した」「監査人が手順を作成した」という選択肢が出ても、同じ理由で不適切と判断できます。
受験者迷ったら、その行為が「確かめる」行為か「自分で行う」行為かで切り分ければよいのですね。
講師はい、それが一番の判断基準です。なお、根拠となるシステム監査基準やシステム管理基準は改訂されることがあるので、最新版を読むときは版を確認しておくと安心です。
まとめ
システム監査人は、客観的で独立した立場から情報システムを評価し、助言や勧告を行います。管理台帳の作成・保管、管理方針の制定、運用手続の実施は被監査側（経営者や管理部門）の役割で、監査人が行うと自己監査になって独立性が損なわれます。規程を閲覧して整備状況を確かめる行為は監査手続にあたり、適切です。運用状況は、記録の閲覧や関係者への質問など別の手続で確かめます。迷ったら、その行為が「確かめる」行為か「自分で行う」行為かで判断します。
解答・解説
正解はイです
この問題のテーマ
アクセス制御を監査するとき、システム監査人がしてよい行為と、してはいけない行為を見分ける問題です。監査人の役割と独立性が問われています。
解き方の考え方
まず、監査人の仕事は客観的な立場から評価し、助言や勧告をすることだと押さえます。そのうえで、各選択肢の行為が「評価する側」と「管理・運用する側」のどちらの仕事かを分けます。台帳の作成、方針の制定、運用手続の実施は管理・運用する側の仕事です。監査人がこれらを行うと、自分の行為を自分で監査することになり、独立性が損なわれます。評価のために資料を確かめる行為だけが残り、それが正解です。
選択肢ごとの解説
- ×ア ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。ソフトウェアに関するアクセス制御の管理台帳を作成し保管するのは、管理を実施する被監査部門の業務です。監査人が台帳を作って管理すると、その台帳を自分で評価することになり、客観性が保てません。
- ○イ データに関するアクセス制御の管理規程を閲覧した。データに関するアクセス制御の管理規程を閲覧するのは、規程が整っているか、運用がそれに沿っているかを確かめるための監査手続です。監査人は規程や記録を閲覧して評価の根拠を得るので、監査人の行為として適切です。
- ×ウ ネットワークに関するアクセス制御の管理方針を制定した。ネットワークに関するアクセス制御の管理方針を制定するのは、経営者や管理部門の責任です。監査人が方針を決めてしまうと、その方針の妥当性を独立した立場から評価できなくなります。
- ×エ ハードウェアに関するアクセス制御の運用手続を実施した。ハードウェアに関するアクセス制御の運用手続を実施するのは、監査対象を監査人自身が運用することにあたります。運用は被監査側が行い、監査人はその運用状況を評価する立場にとどまります。
補足
監査人は改善状況のフォローアップも行いますが、改善そのものは被監査側が主体となって実施します。「監査人が改善策を実施した」「監査人が手順を作成した」といった選択肢は、同じ理由で不適切と判断できます。迷ったときは、その行為が「確かめる」行為か「自分で行う」行為かで切り分けると判断しやすくなります。
※システム監査基準とシステム管理基準は経済産業省が公表しており、出題後に改訂されている場合があります。最新版を参照する際は版を確認してください。ただし、監査人が独立した立場で評価し、管理や運用は被監査側が担うという考え方は変わっていません。
POINT
- システム監査人は、客観的で独立した立場から情報システムを評価し、助言や勧告を行います。
- 方針の制定、台帳の作成・管理、運用手続の実施は被監査側（経営者や管理部門）の役割です。
- 監査人が管理や運用を担うと自己監査になり、独立性が損なわれます。
- 規程や記録の閲覧、関係者への質問など、証拠を集めて確かめる行為が監査手続です。