システム監査技術者試験 平成27年度春期

問1 では，デスクトップ仮想化の企画段階における監査について，VDI 導入に向けた検討プロジェクトを題 材として出題した。 設問1 は，業務の変化に起因するVDI サーバ及びネットワークに掛かる負荷の変化に基づく解答を求めた が，システム資源やパフォーマンスへの影響のように，具体性を欠く解答が散見された。与えられた情報を基 に，不足している具体的情報を識別する能力を身につけてほしい。 設問4 は，一つの指摘事項に対し，二つの異なる観点からの改善提案を問うたが，(2)は，TCO 削減の観点か らの改善提案を導けず，正答率が低かった。(1)は，正答率が高かったが，PC の段階的更新によって社内情報 システムへのリモートアクセスの手段を残しておくといった，VDI 導入の理由を考慮していない解答が散見さ れた。C 社がなぜVDI 導入を計画しているのか，問題文から背景を理解して解答するよう心がけてほしい。

問2 では，外部委託された情報システム関連業務を題材にして，情報セキュリティ管理状況の監査における 要点，手続，改善提案などについて出題した。 設問1 は，テストデータの受け渡しについて，業務委託元における受領の確認を監査要点として設定できる かを問うものである。しかし，題意に沿わずに，業務委託先への送付や業務委託先における受領を監査要点と する解答も散見された。 設問3 は，業務委託先における情報セキュリティ教育の実施状況の確認を確実に立証するために，二つの資 料を照合する追加的な監査手続において確認すべき事項を特定できるかを問うものである。しかし，題意に沿 わずに，情報セキュリティ確認書の確認事項をそのまま記述した解答が散見された。 設問4 は，業務委託先の体制変更時期と監査資料の作成時期の相違を考慮して，監査資料の十分性について 理解しているかを問うものである。しかし，題意に沿わずに，再委託先に対する教育実施状況の確認について の解答も散見された。正答率は低かった。

問3 では，システムの有効性の監査に関して，企業グループの経営情報システムを題材として出題した。設 問は，プロジェクトリーダなどによって実施されたシステム稼働後の利用状況に関する調査報告書の監査での 取扱いを中心に設定した。 設問3 は，調査報告書の監査証拠としての性格を問うものである。プロジェクト関係者によって行われた調 査は，監査対象から独立した主体によって実施されたものとはいえず，たとえ調査が公正不偏に行われたとし ても，その調査結果の客観性が担保されない。この基本的な考え方が分かっていれば解答できる問題である が，正答率は高くなかった。“監査”の本質に関する知識・能力を身につけてほしい。 設問4 は，既に具体的な問題点が明らかになっている場合に，監査手続によって確認する事項を問うもので ある。“登録が遅れる子会社や報告内容の不十分な子会社”があることの原因は種々考えられるので，多様な 解答が見られた。しかし，設問では事業本部に起因する原因に限定されている。問題本文で事業本部と子会社 のかかわりについての記述を抽出すると，事業本部の作業チームによる子会社に対する研修と，事業本部での アクセスログによる利用状況の分析の2 点であるところから正答を導けたはずである。

問1（ソフトウェアの脆 ぜい 弱性対策の監査について）は，アクセス権管理，ウイルス対策などの一般的なセキ ュリティ対策の論述に終始している解答が散見された。また，脆弱性の発生防止，発見，対応のためのコント ロールについて，コントロールの具体的な内容が論述されていない解答も散見された。問題文に記述されてい る脆弱性対策の定義を踏まえて解答する必要があることを理解してほしい。

問2（消費者を対象とした電子商取引システムの監査について）は，設問アでは，重要と考えるリスクの記 述が少なく，問題文の一部を流用した記述も散見された。設問イ及び設問ウでは，機密性に関わる論述が目立 ち，完全性と可用性のコントロール，監査手続の記述が不十分な解答が多かった。また，システム監査人の立 場から監査手続を記述できている解答は少なかった。システム監査の経験，考えに基づいた具体的な論述を求 めていることを理解してほしい。