保証業務の三当事者に該当する者｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問25

まず押さえたいこと

ITに係る保証業務の三当事者は、保証業務を行う「実施者」、対象に責任を負う「責任当事者」、保証報告書を利用する「想定利用者」です。この問題では、保証業務の実施者は外部監査人、Webサービスの信頼性に責任を負う者は当該企業の経営者、保証報告書の想定利用者はWebサービス利用者と整理します。

迷ったときの判断軸

外部監査人は、第三者として保証業務を実施する立場であり、Webサービスの信頼性そのものに責任を負う立場ではありません。Webサービス利用者は、監査を実施する側ではなく、保証報告書を見てサービスを信頼できるか判断する側です。三当事者は、誰が評価し、誰が責任を負い、誰が報告書を使うのかで切り分けましょう。

科目Bにつなげるために

保証業務の三当事者という監査上の定義そのものは、支援士試験の科目Bで中心的に問われる可能性は高くありません。科目Aでは、保証業務を行う実施者、対象に責任を負う責任当事者、保証報告書を利用する想定利用者の役割を区別しておきましょう。科目B対策では、委託先管理・第三者評価・監査証拠・責任分担・評価結果の確認など、外部からの保証や評価をセキュリティ管理にどう活用するかを優先して整理しましょう。