システム管理基準｜情報処理安全確保支援士 平成28年 春期午前Ⅱ試験 問25
出典：平成28年春期 午前Ⅱ 問25
分野：システム監査（中分類） ／ 内部統制
組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として，"システム管理基準"に示されているものはどれか。
- ア：システム監査業務の品質を確保し，有効かつ効率的に監査を実施するため
- イ：情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため
- ウ：情報セキュリティに係るリスクのマネジメントが効果的に実施されるよう，リスクマネジメントに基づくコントロールの整備・運用の状況を評価するため
- エ：リスクに対するコントロールをシステム監査人が評価し，保証又は助言を行い，ITガバナンスの実現に寄与するため
TSUNAGARU-ADVICE
まず押さえたいこと
システム管理基準は、情報システムに関するリスクへ適切に対応し、組織体の目的達成を支えるために、必要なコントロールを整備・運用するための基準です。ポイントは、情報システムを安全・有効・効率的に機能させることです。
迷ったときの判断軸
監査業務の品質確保や、システム監査人による保証・助言はシステム監査基準側の論点です。また、情報セキュリティリスクだけに限定した評価でもありません。システム管理基準は、組織体が自ら情報システムを適切に管理するための基準と整理すると判断しやすくなります。
科目Bにつなげるために
システム管理基準そのものは、支援士試験の科目Bで中心的に問われる可能性は高くありません。科目Aでシステム管理基準とシステム監査基準の違いを整理したら、科目B対策では、脅威・脆弱性・リスク・管理策・ログ分析・インシデント対応など、セキュリティ分野の重要論点を優先して深掘りしましょう。
「システム管理基準」は、組織が情報システムに関するリスクへ適切に対応し、情報システムを適切に管理するための基準です。
その目的は、情報システムが組織体の目的の実現に役立つよう、安全性・有効性・効率性を確保して機能させることです。そのために、情報システムに関するリスクを把握し、それに対するコントロールを整備・運用します。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：システム監査業務の品質を確保し，有効かつ効率的に監査を実施するため
⇒システム監査をどのように実施するかという、監査側の品質や実施方法に関する説明です。「システム管理基準」は、監査そのものではなく、組織が情報システムを適切に管理するための基準です。
ウ：情報セキュリティに係るリスクのマネジメントが効果的に実施されるよう，リスクマネジメントに基づくコントロールの整備・運用の状況を評価するため
⇒情報セキュリティに関するコントロールを評価する監査側の目的に近い内容です。システム管理基準の目的は、評価すること自体ではなく、情報システムを安全・有効・効率的に機能させることです。
エ：リスクに対するコントロールをシステム監査人が評価し，保証又は助言を行い，ITガバナンスの実現に寄与するため
⇒システム監査人が行う保証・助言に関する説明であり、システム監査の目的に該当します。「システム管理基準」は、組織側が情報システムを適切に管理するための基準です。