システム監査技術者試験 平成29年度春期

問1 では，企業グループの子会社の合併に伴う在庫システムの統合を題材に，合併の目的や背景を十分に踏 まえた管理体制の監査について出題した。 設問2 は，実地棚卸の差異数量が適正に修正されないというリスクに対する，職務分離によるコントロール を問うた。職務分離は，重要かつ基本的なコントロールの一つであり，システム監査人としてよく理解してい てほしい。問題文中に差異数量の修正プロセスについての具体的な職務分離の状況の記述があるにもかかわら ず，職務分離とは異なる解答が少なからず見られた。 設問3 は，全ての差異数量の修正完了を保証するためのコントロールを問うた。個々の処理が適正に行われ るコントロールがあるとしても，処理漏れがないことを保証するものではない。 設問4 は，長期滞留品の抽出漏れというリスクとそれに対するコントロールに関する監査手続を問うた。抽 出漏れが起きる原因や抽出漏れを防止するためのコントロールを記述しており，監査手続の記述様式になって いない解答が多く見られた。

問2 では，金融機関のシステム開発及び運用を担う子会社を題材に，システム開発における品質管理の適切 性の監査について出題した。 設問2 は，工程完了の基準を満たさないプロジェクトに関する判定の妥当性を確認する監査ポイントを問う た。流用元のシステムの品質評価結果についての解答が多く見られた。レビューの指摘密度が指標値を満たさ なかった理由について，品質管理部が，“過去に開発したシステムの設計書を流用できたこと”などの理由の 妥当性を審査して承認していることをシステム監査人は確認すべきである，という点を理解してほしい。 設問3 は，表計算ソフトを使用してレビュー記録表を一覧化して確認しようとした監査手続の目的(1)と，そ の手続の改善点(2)について問うた。(1)については，概ね正答を導き出していたが，(2)については，レビュー 管理の実施内容についての改善点の解答や，全く別の観点での監査手続を追加するという趣旨の解答が散見さ れた。設問に記載されている“監査部が実施した監査手続の改善点”という設問の趣旨をよく理解して解答し てほしい。 設問4 は，システムテスト工程の完了判定基準について，不足している可能性がある項目を監査人として推 定できるかどうか問うた。テスト標準の内容として表1 に示されている項目が工程完了の判定基準に含まれて いるかを解答すればよい。

問3 では，石油精製会社の制御ネットワーク及び制御システムのセキュリティ管理対策を題材にして出題し た。 設問1 は，予備調査において入手した2 種類の管理規程が，それぞれ個別に策定されていることに着目し， 両者間で定めるセキュリティ管理のレベルの不整合や矛盾の可能性に気づいてほしかったが，一方の規程にお ける不備について述べた解答が多く見られた。 設問3 は，セキュリティパッチ適用前に確認すべき事項(1)と，セキュリティパッチ適用間隔が長いことに対 する補完的コントロール(2)について問うた。(1)については，セキュリティパッチ適用後の確認事項に関する解 答が少なからず見られた。また，(2)については，インターネットへの接続制限やネットワークの遮断など，制 御ネットワーク及び制御システムの正常稼働に影響を与え得る内容の解答が散見された。問題本文中の背景及 び設問の趣旨をよく把握した上で解答してほしい。 設問4 は，“技術的対策が適切に講じられていることを確認するための監査手続”について問うたが，単に “～を確認する”という記述にとどまる解答が多く見られた。監査手続を記述する場合には，監査技術（監査 証拠を入手するための手段・方法）も併せて記述する必要があり，監査上のポイントを明確にすることも大切 である。また，技術的対策に該当しない対策についての解答も散見された。

問1（情報システムに関する内部不正対策の監査について）は，設問イでは，アクセス権の限定，アクセス ログの取得など一般的な技術的対策について論述している解答は多かったが，権限を有する者による不正アク セスなど，内部不正の特徴を踏まえた留意点を含めて論述できている解答は少なかった。設問ウでは，規程の 整備，教育の実施といった組織的対策について論述している解答は多かったが，より一歩踏み込んで職務の分 離などによる内部統制の構築，従業員などに対する営業秘密となる情報の明示といった対策まで論述できてい る解答は少なかった。本問は，不正アクセスの発見，防御の方法が，外部からの不正アクセスとは異なる内部 不正対策の監査の出題なので，解答に当たっては，内部不正の特徴を踏まえて論述してほしい。

問2（情報システムの運用段階における情報セキュリティに関する監査について）は，設問アでは，セキュ リティレベルではなく，リスクを論述している解答が多かった。設問イでは，構築段階で想定できる要因とそ のコントロールの論述が多く，問題文で求めている運用段階における情報セキュリティの脅威の変化を踏まえ た解答は少なかった。設問ウでは，設問イで述べたコントロールに対応した監査手続を論述できていない解答 が目立った。また，監査手続ではなく，監査結果，指摘事項などを論述している解答も散見された。本問は， 運用段階において変化する情報セキュリティの“脅威”に対する監査の出題であるので，問題文をよく読み， 題意を理解した上で，解答してほしい。