16_1 システム監査

システムテストの監査におけるチェックポイントのうち，適切なものはどれか。 令和元年秋期　問58

• テストケースが網羅的に想定されていること
• テスト計画は利用者側の責任者だけで承認されていること
• テストは実際に業務が行われている環境で実施されていること
• テストは利用者側の担当者だけで行われていること

情報システム部が開発して経理部が運用している会計システムの運用状況を，経営者からの指示で監査することになった。この場合におけるシステム監査人についての記述のうち，最も適切なものはどれか。 令和元年秋期　問59

• 会計システムは企業会計に関する各種基準に準拠すべきなので，システム監査人を公認会計士とする。
• 会計システムは機密性の高い情報を扱うので，システム監査人は経理部長直属とする。
• システム監査を効率的に行うために，システム監査人は情報システム部長直属とする。
• 独立性を担保するために，システム監査人は情報システム部にも経理部にも所属しない者とする。

アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。 令和元年秋期　問60

• ソフトウェアに関するアクセス制御の管理台帳を作成し，保管した。
• データに関するアクセス制御の管理規程を閲覧した。
• ネットワークに関するアクセス制御の管理方針を制定した。
• ハードウェアに関するアクセス制御の運用手続を実施した。

システム監査人がインタビュー実施時にすべきことのうち，最も適切なものはどれか。 平成31年春期　問58

• インタビューで監査対象部門から得た情報を裏付けるための文書や記録を入手するよう努める。
• インタビューの中で気が付いた不備事項について，その場で監査対象部門に改善を指示する。
• 監査対象部門内の監査業務を経験したことのある管理者をインタビューの対象者として選ぶ。
• 複数の監査人でインタビューを行うと記録内容に相違が出ることがあるので，1人の監査人が行う。

経営者が社内のシステム監査人の外観上の独立性を担保とするために講じる措置として，最も適切なものはどれか。 平成31年春期　問59

• システム監査人にITに関する継続的学習を義務付ける。
• システム監査人に必要な知識や経験を定めて公表する。
• システム監査人の監査技法研修制度を設ける。
• システム監査人の所属部署を内部監査部門とする。

A社では，自然災害などの際の事業継続を目的として，業務システムのデータベースのバックアップを取得している。その状況について，"情報セキュリティ管理基準(平成28年)"に従って実施した監査結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。 平成31年春期　問60

• バックアップ取得手順書を作成し，取得担当者を定めていた。
• バックアップを取得した電子記録媒体からデータベースを復旧する試験を，事前に定めたスケジュールに従って実施していた。
• バックアップを取得した電子記録媒体を，機密保持を含む契約を取り交わした外部の倉庫会社に委託保管していた。
• バックアップを取得した電子記録媒体を，業務システムが稼働しているサーバの近くで保管していた。

JIS Q 27001:2014(情報セキュリティマネジメントシステム−要求事項)に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。 平成30年秋期　問58

• USBメモリの使用を，定められた手順に従って許可していた。
• 個人情報の誤廃棄事故を主務官庁などに，規定されたとおりに報告していた。
• マルウェアスキャンでスパイウェアが検知され，駆除されていた。
• リスクアセスメントを実施した後に，リスク受容基準を決めた。

外部保管のために専門業者にバックアップ媒体を引き渡す際の安全性について，セキュリティ監査を実施した。その結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。 平成30年秋期　問59

• 委託元責任者が，一定期間ごとに，専門業者における媒体保管状況を確認する契約を結んだ上で引き渡している。
• 委託元責任者が，専門業者との間で，機密保持条項を盛り込んだ業務委託契約を結んだ上で引き渡している。
• 委託元担当者が，専用の記録簿に，引渡しの都度，日付と内容を記入し，専門業者から受領印をもらっている。
• 委託元担当者が，バックアップ媒体を段ボール箱に入れ，それを専門業者に引き渡している。

システム監査人の行為のうち，適切なものはどれか。 平成30年春期　問58

• 調査が不十分な事項について，過去の経験に基づいて監査意見をまとめた。
• 調査によって発見した問題点について，改善指摘を行った。
• 調査の過程で発見した問題点について，その都度，改善を命令した。
• 調査の途中で当初計画していた期限がきたので，監査報告書の作成に移った。

システム監査実施体制のうち，システム監査人の独立性の観点から避けるべきものはどれか。 平成30年春期　問59

• 監査チームメンバに任命された総務部のAさんが，ほかのメンバと一緒に，総務部の入退室管理の状況を監査する。
• 監査部のBさんが，個人情報を取り扱う業務を委託している外部企業の個人情報管理状況を監査する。
• 情報システム部の開発管理者から5年前に監査部に異動したCさんが，マーケティング部におけるインターネットの利用状況を監査する。
• 法務部のDさんが，監査部からの依頼によって，外部委託契約の妥当性の監査において，監査人に協力する。