システム監査技術者試験 平成26年度春期

問1 では，情報システムの保守業務を題材にして，保守作業を起因とする障害発生のリスクを踏まえたコン トロールの設計や監査ポイントについて出題した。 設問1 は，調査用ツールを使用した影響範囲の調査において，調査漏れを防ぐためのコントロールを問うも のである。正答率は低く，影響範囲の調査やライブラリの指定方法に関連しない解答が散見された。 設問2 は，テスト範囲が不十分なことで不具合が残存するリスクに対するコントロールを問うものである。 障害時対応のコントロールなど設問の趣旨に添わない解答も散見されたが，正答率は高かった。 設問3 は，類似障害の発生を防止するためのコントロールと，それに関連して，障害報告書に記載すべき事 項を具体的に問うものである。他システムにも発生し得る障害についての原因や対策を網羅的に調査し，その 対応結果を確認することの必要性を認識していれば解答できる問題である。正答率は高かった。 設問4 は，新規に開発されたシステムを保守担当者が引き継ぐときの留意点について問うものである。ドキ ュメントの網羅性などの形式的な引継ぎだけではなく，保守を実施する上で必要かつ十分な内容かどうかを保 守担当者が確認することの必要性を認識していれば解答できる問題である。“引継ぎ規程どおりに実施し，責 任者が承認したか”，といった形式的な内容の解答が多くみられ，正答率は低かった。

問2 では，予算管理システムの要件定義段階を題材にして，効果的な情報系システムを構築・運用するため の考慮事項や監査ポイントについて出題した。 設問1 は，権限内での作業を限定するためにシステムに組み込むべきコントロールを問うものである。正答 率は高かったが，問題文中の記述に記載されている事項と似たような解答もあった。 設問2 は，現状のシステムと必要な情報が変更された場合における他システムへの影響を問うものである。 会計システムや予算管理システムの信頼性，本文中の記述で記載されている考慮事項に関する解答が散見さ れ，正答率は，低かった。 設問3 は，効果的な実績情報の利用の面から取込みのタイミングにおいて，どのような点に留意すべきかを 問うものである。当該システムの目的と，月次決算確定後の取込みが正確性を重視して決定されたことを認識 していれば解答できる問題である。正答率は高かったが，既に検討されている“正確性”と類似した解答も散 見された。 設問4 は，情報系システムを有効に利用する面から，システム導入前に実施する研修について問うものであ る。X 社では，“広範囲な利用者を対象とした情報系のシステム”は初めてであることを考慮して，システムの 操作技能だけでは導入後にシステムが効果的に利用できない可能性があることを認識していれば解答できる問 題である。正答率は低かった。 設問5 は，情報系システムの利用促進を目的としている開発プロジェクトおいて，機密情報の情報管理が十 分に検討されていることを確かめるための要件段階での監査手続を問うものである。操作ログや各社員の権限 設定状況のような稼働後でないと監査できない解答が散見された。

問3 では，個人が所有するモバイル端末の業務利用（以下，BYOD という）の監査について，BYOD 導入プロ ジェクトによる検討内容を題材として出題した。 設問１は，モバイル端末に関する技術の進歩の速さとZ 社が定めるバージョンよりも古いOS を搭載したモ バイル端末の使用禁止という二つの事柄から導かれるリスクについて解答を求めたが，ウイルス感染や不正侵 入のように，単にセキュリティの脅威を記述した解答が見られた。与えられた事象や状況から，それらに起因 するリスクを識別する能力は，監査人にとって不可欠なので，ぜひ身につけてほしい。 設問2 は，データ保護対策について具体的に述べた解答が多く，正答率が高かった。しかし，モバイル端末 にデータを保存しないといった，問題の趣旨に沿わない解答も少なからず見られた。保護の対象が，モバイル 端末内に保存されているデータであることを理解していれば正解を導けたはずである。 設問4 は，システム監査人が，アンケート調査の項目を考慮し，“従業員の満足度が低下し，BYOD 実施率が アンケート調査の結果を下回る可能性がある”と考えた理由を問うたが，効果測定項目の不足及びその他の観 点からの解答が散見された。問題文をよく読み，趣旨に沿って解答するよう心がけてほしい。

問1（パブリッククラウドサービスを利用する情報システムの導入に関する監査について）は，一般的なデ ータセンタの外部委託のリスクと，その監査手続を論述している受験者が多かった。設問イでは，クラウド環 境特有のリスク及びパブリッククラウドサービスによく見られる特徴を踏まえたリスクの論述を求めている が，問題文に記述されている例だけを挙げている答案が目立った。また，設問ウでは，設問イで挙げたリスク 対策について確認する監査手続の論述を求めているが，データセンタに対する往査など，パブリッククラウド サービスにおいては，一般的に実施が困難な監査手続を論述している受験者が散見された。

問2（情報システムの可用性確保及び障害対応に関する監査について）は，多くの情報システムに該当する 基本的なテーマである。設問アでは，障害発生時の業務への影響について，具体性のある論述をしている解答 は少なかった。設問イでは，ほとんどの受験者が可用性確保と障害対応のコントロールについて何らかの論述 をしていた。しかし，早期発見のコントロールについて論述できている受験者は少なく，問題文をよく読まな いまま解答している受験者が多かったように思われる。設問ウでは，どのような監査証拠を入手し，具体的に 何を確認するのかまで論述できている受験者は少なかった。情報システムに関わるリスクとコントロール，監 査手続の関係をしっかりと理解してほしい。