基本情報 平成29年度 春期 問59｜マネジメント系に関する問題

答えは b「ドキュメントの機密性を確保するための対策を講じていること」 です。

問われているのは「ドキュメントが漏えい・改ざん・不正使用されるリスク」への対策。これは情報セキュリティの話で、関係者以外が見たり書き換えたりできないようにする対策（アクセス制限や保管管理など）が講じられているかを確かめます。

👉 覚え方：漏えい・改ざん・不正使用＝セキュリティ（機密性など）の対策をチェック。

ほかの選択肢：a 遅滞なく更新＝内容が最新かどうか（正確性）／c 標準化＝書き方をそろえる（品質・保守性）／d プロトタイプ型開発でも作成＝必要な文書がそろっているか（網羅性）。どれも漏えいや改ざんを防ぐ対策ではない。

なぜこれが正解か

正解は b。設問のリスクは「漏えい，改ざん，不正使用」であり，これに対するコントロールは，ドキュメントへのアクセス権限の設定，保管場所の施錠や持出し管理，配布先の管理，電子ファイルの暗号化など，機密性（と完全性）を確保するための対策である。監査では，こうした対策が講じられているかをチェックポイントとする。

各選択肢の解説

• a 誤り：システム変更に伴うドキュメントの遅滞ない更新は，ドキュメントの正確性・最新性を確保するためのチェックポイント。
• b 正しい：機密性確保の対策は，漏えい・改ざん・不正使用のリスクに対するコントロール。
• c 誤り：ドキュメントの標準化は，品質や保守性を高めるためのチェックポイント。
• d 誤り：プロトタイプ型開発でも必要なドキュメントを作成しているかは，ドキュメントの網羅性（作成漏れの防止）に関するチェックポイント。

覚え方・ひっかけ注意

監査のチェックポイントは「どのリスクに対するコントロールか」で選ぶ。漏えい・改ざん・不正使用＝セキュリティ，内容の誤り・古さ＝正確性，作成漏れ＝網羅性。選択肢はどれも「良い取組み」に見えるので，設問のリスクと対応しているかで判断する。

理論的背景

システム監査では，リスクを識別し，それに対応するコントロール（統制）が整備・運用されているかを評価するリスクアプローチが基本となる。設問のように「ドキュメントが漏えい，改ざん，不正使用されるリスク」と対象リスクが特定されている場合，チェックポイントはそのリスクを低減するコントロールに限られる。情報セキュリティの3要素である機密性（認可された者だけがアクセスできる），完全性（正確で改ざんされていない），可用性（必要なときに使える）のうち，漏えい・不正使用は主に機密性，改ざんは完全性に関わる。システム管理基準でも，ドキュメントの作成・更新・保管・廃棄のそれぞれについて管理すべき事項が示されている。

実務での使われ方

設計書や運用手順書には，システム構成，IPアドレス，認証方式などの機微な情報が含まれるため，アクセス権限の設定，版管理システムでの変更履歴の記録，持出しや複製の制限，廃棄時の確実な消去が求められる。監査人は，文書管理規程の閲覧，アクセス権の設定状況の確認，貸出・持出し記録の点検などで，対策の整備・運用状況を確かめる。

試験での位置づけ

基本情報・応用情報では，与えられたリスクに対する監査のチェックポイントや，コントロールの種類（予防・発見・是正）を選ばせる問題が頻出。システム監査技術者試験では，リスクとコントロールの対応付けを具体的に記述させる。

選択肢の発展補足

a・c・d も監査で確認されることのある項目だが，対象とするリスクが異なる。a は内容が古くなるリスク（正確性），c は品質のばらつきや保守性低下のリスク，d は作成漏れのリスク（網羅性）に対応する。設問のリスクの種類に合うコントロールを選ぶ，という解き方は，他の監査問題にもそのまま使える。