基本情報 平成28年度 春期 問59｜マネジメント系に関する問題

答えは b「データに関するアクセス制御の管理状況の確認」 です。

システム監査人は、監査される部門から独立した立場で、管理がきちんと行われているかを確かめる人です。自分で管理の仕組みを作ったり、運用したりはしません。

「管理状況の確認」は、まさに監査人の仕事です。

👉 覚え方：監査人は「確認・評価」する人。「作成・制定・実施」はしない。

ほかの選択肢：a 管理表の作成・保管／c 管理方針の制定／d 運用管理の実施 は、どれも監査される側（管理する側）の仕事。監査人がやると自分の仕事を自分で監査することになる。

なぜこれが正解か

正解は b。システム監査人は，監査対象から独立した立場で，コントロール（統制）が適切に整備・運用されているかを点検・評価し，結果を報告する。アクセス制御の監査では，アクセス権の申請・承認・付与・見直しの記録や管理規程を閲覧し，管理状況を確認するのが監査人の行動として適切である。

各選択肢の解説

• a 誤り：アクセス制御の管理表の作成と保管は，システムを管理する部門の業務。監査人が行うと，自ら作成したものを監査することになり独立性が損なわれる。
• b 正しい：管理状況の確認は監査手続そのもの。
• c 誤り：管理方針の制定は，経営者や管理部門が行う業務であり，監査人の役割ではない。
• d 誤り：運用管理の実施は運用部門の業務。監査人が運用に関与すると独立性が損なわれる。

覚え方・ひっかけ注意

監査人の行動は「確認する・評価する・助言する（勧告する）」まで。「作成する・制定する・実施する・運用する」は被監査部門の業務と考える。監査人が業務を代行すると，監査の独立性・客観性が失われる，という点が繰り返し問われる。

理論的背景

システム監査基準では，システム監査人に独立性（外観上・精神上）と客観性，専門的能力，正当な注意を求めている。外観上の独立性とは，監査対象の部門や業務に関与していないこと，精神上の独立性とは，公正で客観的な判断を維持することである。監査人が監査対象の管理業務（管理表の作成，方針の制定，運用）を担うと，自らの業務を自ら評価する「自己監査」となり，独立性が損なわれる。監査人は，監査手続として閲覧・質問・観察・突合・再実施などを用いて監査証拠を入手し，コントロールの整備状況と運用状況を評価する。

実務での使われ方

アクセス制御の監査では，ユーザID・権限の一覧と申請・承認記録の突合，退職者や異動者のIDが速やかに削除・変更されているかの確認，特権IDの利用記録の点検，定期的な権限棚卸しの実施状況の確認などを行う。問題があれば，改善を勧告し，被監査部門が改善計画を立てて実施する。改善の実施は被監査部門の責任であり，監査人はフォローアップでその状況を確認する。

試験での位置づけ

基本情報・応用情報では，システム監査人の行動として適切なもの（独立性の観点）を選ばせる問題が繰り返し出題される。システム監査技術者試験では，監査手続や監査証拠の具体的な入手方法まで問われる。

選択肢の発展補足

a・c・d はいずれも，アクセス制御を「管理する側」の業務である。a の管理表の作成・保管は情報システム部門や管理部門，c の管理方針の制定は経営者や情報セキュリティ委員会，d の運用管理は運用部門が担う。監査人が関与できるのは，それらが適切かどうかを確かめ，必要に応じて改善を勧告するところまで，と整理しておくと迷わない。