システム監査人が書面上で追跡する技法｜情報セキュリティマネジメント 令和元年 秋期午前試験 問39
出典：令和元年秋期 午前 問39
分野：システム監査（中分類） ／ システム監査（小分類）
データの生成から入力，処理，出力，活用までのプロセス，及び組み込まれているコントロールを，システム監査人が書面上で又は実際に追跡する技法はどれか。
- ア：インタビュー法
- イ：ウォークスルー法
- ウ：監査モジュール法
- エ：ペネトレーションテスト法
TSUNAGARU-ADVICE
まず押さえたいこと
ウォークスルー法は、データが生成されてから入力・処理・出力・活用されるまでの流れを、システム監査人が書面上又は実際の業務に沿って追跡し、各段階のコントロールを確認する技法です。業務処理の流れと統制が実際に機能しているかを把握するのに適しています。
迷ったときの判断軸
業務やデータの流れを最初から最後までたどるとあればウォークスルー法を考えましょう。インタビュー法は関係者への質問、監査モジュール法はシステム内に監査用プログラムを組み込んでデータを収集する方法、ペネトレーションテスト法は実際の攻撃に近い方法で脆弱性を確認する技法です。
学習の優先度
ウォークスルー法はシステム監査の基本技法ですが、科目Bとの直接的な関連は強くありません。処理の流れを追跡して統制の存在や働きを確認する方法と押さえたら、脅威・リスク・アクセス制御・ログ分析・インシデント対応などのセキュリティ分野を優先しましょう。
ウォークスルー法は、データや取引がどのように発生し、入力・処理・出力され、最終的に利用されるかを、システム監査人が一連の流れに沿って追跡する監査技法です。その過程で、各段階にどのようなコントロールが組み込まれているかも確認します。
本問では、「データの生成から入力，処理，出力，活用までのプロセス」「書面上で又は実際に追跡する」という部分が判断のポイントです。処理の流れを最初から最後までたどって確認する方法なので、イが適切です。
❌他選択肢が誤りの理由ア：インタビュー法
⇒インタビュー法は、監査対象部門の担当者などに質問し、業務手順や管理状況について情報を収集する方法です。データの処理過程を一連の流れとして追跡する技法ではありません。
ウ：監査モジュール法
⇒監査モジュール法は、監査用のプログラムを業務システムに組み込み、処理されたデータなどを監査用に抽出・記録する方法です。処理の流れを人が書面上や実際にたどるウォークスルー法とは異なります。
エ：ペネトレーションテスト法
⇒ペネトレーションテスト法は、実際の攻撃に近い手法でシステムへの侵入を試み、脆弱性や侵入可能性を確認する方法です。業務データの生成から活用までの流れを追跡する技法ではありません。