システム監査人の行為として適切なもの｜情報セキュリティマネジメント 令和元年 秋期午前試験 問40
出典：令和元年秋期 午前 問40
分野：システム監査（中分類） ／ システム監査（小分類）
アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- ア：ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
- イ：データに関するアクセス制御の管理規程を閲覧した。
- ウ：ネットワークに関するアクセス制御の管理方針を制定した。
- エ：ハードウェアに関するアクセス制御の運用手続を実施した。
TSUNAGARU-ADVICE
まず押さえたいこと
システム監査人は、アクセス制御の仕組みを自ら作ったり運用したりするのではなく、管理方針・規程・手続などが適切に整備・運用されているかを客観的に確認する立場です。そのため、データに関するアクセス制御の管理規程を閲覧する行為は、監査人として適切です。
迷ったときの判断軸
監査人は「作る・決める・実施する」のではなく、「確認・評価する」と整理しましょう。管理台帳の作成、管理方針の制定、運用手続の実施は、いずれも被監査部門などが行う管理活動です。
科目Bにつなげるために
科目Bでは、アクセス権限の設定や運用状況を確認する場面で、実施者と評価者を分けるという視点が重要です。監査人自身が管理業務を担当すると独立性や客観性が損なわれるため、規程・設定情報・ログなどの証拠を確認して評価する立場だと押さえておきましょう。
システム監査人は、監査対象の管理状況を独立した立場から確認・評価する役割を担います。アクセス制御についても、自ら管理台帳を作成したり、管理方針を制定したり、運用手続を実施したりするのではなく、既存の規程や記録などを確認して適切に管理されているかを評価します。
本問では、「データに関するアクセス制御の管理規程を閲覧した」という部分が判断のポイントです。管理規程を確認する行為は、監査証拠を収集してアクセス制御の適切性を評価する監査人の行為に該当するため、イが適切です。
❌他選択肢が誤りの理由ア：ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
⇒管理台帳の作成・保管は、アクセス制御を実際に運用・管理する側の業務です。監査人が自ら管理業務を行うと、監査対象からの独立性が損なわれるため適切ではありません。
ウ：ネットワークに関するアクセス制御の管理方針を制定した。
⇒管理方針の制定は、経営者や管理部門など監査対象側が行う業務です。監査人は方針を制定するのではなく、その内容や運用状況を確認・評価します。
エ：ハードウェアに関するアクセス制御の運用手続を実施した。
⇒運用手続の実施は、アクセス制御を実際に運用する担当者の業務です。監査人はその手続が適切に実施されているかを確認する立場であり、自ら実施することは適切ではありません。