システム監査技術者試験 平成28年度春期

問1 では，情報セキュリティインシデント対応状況の監査について，組織内CSIRT の運用状況を題材とし て出題した。 設問1 は，“情報技術の進歩”や“攻撃形態や方法の変化”に対応できなくなる可能性についての解答を求 めたが，“イベントの検知漏れ”や“インシデントの判定誤り”のように，どのような種類のイベント又はイ ンシデントかについて言及していない解答が散見された。与えられた情報を基に，問題点を過不足なくまとめ る能力を身に付けてほしい。 設問3 は，B 社CSIRT に対する“変更の報告”及びそれに伴うインシデントハンドリングへの“影響の把 握”を解答として求めたが，後者に言及した解答は少なかった。前者だけでは対策として不十分であることを 認識してほしい。

問2 では，システム統合プロジェクトにおける移行判定を題材に，中間移行判定後の監査と最終移行判定前 の監査における目的，手続，指摘事項などについて出題した。 設問2 は，移行判定の状況を確認するために，監査手続においてどのような資料を閲覧するかを問うた。し かし，問題文に示された判定結果の承認体制について，理解が不十分と考えられる解答が散見された。 設問3 は，最終移行判定前の監査の目的を問うた。しかし，題意に沿わずに，判定基準と判定手続を取り違 えた解答，監査目的と指摘事項が整合しない解答，監査のタイミングについて理解が不十分と考えられる解答 などが多く，正答率は低かった。 設問4 は，監査の指摘事項として，判定条件を満たしているかを確認するための判定手続を問うた。正答率 は高かったが，判定根拠資料を明確に記述していない解答が散見された。

問3 では，プロジェクト管理業務を含め，複数の委託先に開発を発注するプロジェクトを題材に，プロジェ クト管理の監査について出題した。 設問1 は，PM が他の業務を兼務している場合にプロジェクト管理業務を円滑に実施できているかを判断す るための監査手続を問うた。“成果物にPM の承認があることを確認する”など，表2 の監査要点に合致しな い監査手続の解答が多くみられ，正答率は低かった。 設問4 は，進行中のプロジェクトにおけるフォローアップの内容を問うた。正答率は高かったが，通常のプ ロジェクト管理状況に関する監査手続の解答も散見された。基本設計段階で判明した課題に対して，PM がど のようにプロジェクト管理業務を改善しているかについて，システム監査人がフォローアップすることの重要 性を認識して解答してほしい。 設問5 は，基本設計に遅れが生じているという背景記述から，システム監査人が確認すべき基本設計の計画 段階での考慮事項を問うた。計画についてではなく，“引継ぎが実施されたか”といった，事実についての確 認事項を記述した解答が多く見られた。

問1（情報システム投資の管理に関する監査について）では，設問イは，投資内容が事業戦略と合っている かなどの基本的な監査手続は論述できていたが，効果，費用の見積りが適切かといった踏み込んだ監査手続ま で論述できている解答は少なかった。設問ウは，運用段階におけるシステムの投資目的及び期待効果の達成リ スクを問うているが，情報漏えい，システム停止などの技術的なリスクだけに着目している解答が多かった。 そのため，運用段階の投資管理の監査手続についても適切に解答できていなかった。問題文をよく読み，何を 問われているかを理解して解答してほしい。

問2（情報システムの設計・開発段階における品質管理に関する監査について）は，設問イでは，設計・開 発段階において，どのような品質を確保すべきなのかを工程ごとに整理して論述できている解答は少なかっ た。設問ウでは，“品質管理”と“品質”を混同して論述している解答，設問イとの関連がなく一般論で論述 している解答，そもそも監査手続になっていない解答が多かった。問題文の趣旨と設問で求められていること を正しく理解した上で，論述してほしい。