システム監査技術者試験 令和5年度秋期

問1 では，EC サイトにおけるクレジットカード情報保護の監査を題材に，カード情報の漏えい対策を含めた 情報セキュリティ対策に関して，EC サイト運用に伴うリスク，コントロールの有効性の検証に必要な監査証拠 を含め，適用すべき監査手続について出題した。全体として正答率は平均的であった。 設問2(i)は，正答率がやや低かった。解答として求めているのは“対策”であり，問題文の文脈から“基 準”又は“規程”は当てはまらないことを理解してほしい。 設問3 は，正答率が平均的であった。設問では“ネットワーク型侵入防御システムにおけるリスク”を問う たが，直接関係のないリスクについての解答が散見された。設問の趣旨を正確に把握してほしい。 設問4 は，正答率が平均的であった。“改ざん監視対象ファイルリスト”と比較する対象は，Web サーバ内の 監視対象ファイルそのものの内容ではなく，“Web サーバ内の監視対象ファイルのリスト”であるが，その区別 ができていないと思われる解答が散見された。比較対象となり得る監査証拠を識別する必要があることを理解 してほしい。

問2 では，ローコード／ノーコード開発ツールを利用したシステム開発の監査を題材に，開発ツールを効果 的に活用していく上でのリスクや開発手法の標準化に関する監査手続について出題した。全体として正答率は 平均的であった。 設問1 は，正答率はやや高かった。“短期間・低コスト”で開発できるという利点と直接関連しない解答も 散見された。リスクを問う設問ではあるが，一般的なリスクではなく，監査要点に沿ったリスクを把握するこ とが重要である点を理解してほしい。 設問5 は，正答率が平均的であった。管理ルールが運用開始前にもかかわらず，実際のドキュメントを査閲 して“分かりやすい記述になっていることを確認する”といった趣旨の解答が散見された。本設問は，管理ル ール案の適用前に確認すべきことを問うており，運用段階の監査ではないことを理解してほしい。 設問6 は，正答率がやや低かった。ログの種類や操作ログによる不正検知などの解答が散見された。ログの 取得だけではなく，“ログの保全”に関する要件まで理解してほしい。また，監査手続や監査ポイントなど設 問の趣旨と異なる記載も多く見られた。システム監査実務では，必要なコントロールを理解して，それが有効 に機能しているかという観点で監査手続を検討する必要があることを理解してほしい。

問3 では，人材管理システムの監査を題材に，人材管理業務遂行のためのシステムの導入と運用に関するリ スク，及び監査の観点及び監査手続について出題した。全体として正答率は平均的であった。 設問1 は，正答率がやや低かった。単に人事情報の閲覧というだけではなく，人事異動に伴う閲覧権限の変 更を理解して，リスクを明確に捉えてほしい。 設問3 は，正答率は平均的であった。正確性は確保できているが網羅性が確保できているとはいえないとい う問題文での説明を踏まえて，どのような統制が期待されているかを理解してほしい。 設問5 は，正答率はやや高かった。業務におけるリスクには，単なるそごや過失だけでなく，良い評価を得 たいといった動機的な原因が不適切な行動を喚起する場合もあることを理解してほしい。 設問6 は，正答率が低かった。業務効率向上の効果算定は，システム導入において不可欠な活動であり，そ の監査の観点はよく理解しておいてほしい。

全問共通 システム監査技術者試験では，問1 でデータ利活用基盤の構築について，問2 でサイバーセキュリティ管理 態勢について，システム監査人としての見識や能力などを問うているが，問題文の趣旨又は設問の内容に沿っ ていない論述が散見された。また，監査手続が不十分であったり，論文の体裁になっていなかったりする解答 も目立った。システム監査の基本を理解した上で，自らの経験と考えに基づいて，論述するように心掛けてほ しい。

問1 では，個別システムにおけるデータ整備や旧システムからのデータ移行などについての論述が目立っ た。設問アで求めたデータ利活用基盤の概要では，構築理由の記述が不十分な解答が散見された。設問イで は，データセキュリティに関わるリスクの記述が多く，複数の情報システムなどから収集するデータの品質に 関わるリスクについて記述できている解答は少なかった。設問ウで求めた監査手続では，入手すべき監査証拠 が具体的でなかったり，監査手続になっていなかったりする記述が散見された。問題文の趣旨を踏まえて，具 体的に論述してほしい。

問2 では，“サイバーセキュリティ管理態勢”について求めているが，“体制”や”個別システム”，“個別プ ロジェクト”についての論述が目立った。設問アでは，“態勢”が必要となる理由が不十分な解答が多かっ た。設問イで求めたサイバーセキュリティ管理態勢におけるPDCA サイクルの適切性では，PDCA それぞれにつ いて記述している解答は少なく，PDCA の一部についての記述であったり，一般的な情報セキュリティの内容や 脆 ぜい 弱性対策など技術的対策に偏った内容であったりする解答が目立った。設問ウでは，インシデント発生時を 想定した態勢について論述していない解答が散見された。設問で求めている内容を踏まえて，具体的に論述し てほしい。